text: Bostad med särskild service enligt lag (

text: ) om stöd och service till vissa funktionshindrade. 2 EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING

text: (EU) 2016/679

text: av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning).

text: 4 Europeiska dataskyddsstyrelsen, EDPB , har tagit fram riktlinjer beträffande i vilka situationer en behandling sannolikt leder till en hög risk för fysiska personers fri- och rättigheter. I riktlinjerna anges nio kriterier som ska beaktas vid bedömningen av om en behandling av personuppgifter sannolikt leder till en hög risk för den registrerade. Om två av kriterierna är uppfyllda kan den personuppgiftsansvarige i de flesta situationer anta att en konsekvensbedömning ska utföras, men även en behandling som endast uppfyller ett av dessa kriterier kan i vissa fall kräva en konsekvensbedömning. Omvänt kan två eller fler av kriterierna i vägledningen vara uppfyllda men den personuppgiftsansvarige kan ändå göra bedömningen att behandlingen sannolikt inte leder till en hög risk för den registrerades fri- och rättigheter. I sådana situationer bör den personuppgiftsansvarige motivera och dokumentera anledningarna till att en konsekvensbedömning inte utförs och inkludera dataskyddsombudets synpunkter.

text: European Data Protection Board, tidigare artikel 29-gruppen. 4 Riktlinjer om konsekvensbedömning avseende dataskydd och fastställande av huruvida behandlingen ”sannolikt leder till en hög risk” i den mening som avses i förordning 2016/679,

text: WP 248

text: rev. 01.

nyckelord:
Kamerabevakning
Dina rättigheter
Hälso- och sjukvård

sanktionsavgift: 200 000 kronor

slug: lss-boende

title: LSS-boende

sammanfattning: Vi har granskat behandlingen av personuppgifter och fattat ett beslut.

text: Datainspektionens beslut

text: Datainspektionen konstaterar att Gnosjö kommun - Socialutskottet under perioden mars 2019 - april 2020 har kamerabevakat en boende på ett LSSboende i hens sovrum och därigenom behandlat personuppgifter i strid med - artikel 5.1 a i dataskyddsförordningen då kamerabevakningen skett utan rättslig grund och lagligt stöd för behandlingen av personuppgifter dvs. inte varit laglig. Att kamerabevakningen utförts på ett för den boendes personliga integritet mer ingripande sätt än vad som kan anses skäligt, rimligt och proportionellt i förhållande till ändamålet, dvs. inte levt upp till kraven på korrekthet samt att kamerabevakningen skett utan att den boende fått föreskriven information vare sig enligt dataskyddsförordningen eller

text: kamerabevakningslagen

text: , dvs. inte levt upp till kraven på öppenhet. - artikel 6.1 genom att behandla personuppgifter utan att ha någon rättslig grund för det, - artikel 9.2 genom att behandla känsliga personuppgifter om sjukdoms- och hälsotillstånd utan att ha ett lagligt stöd för den behandlingen, - artiklarna 35 och 36 genom att inte ha uppfyllt kraven på en konsekvensbedömning och inte ha förhandssamrått med Datainspektionen och - artikel 13 genom att inte ha uppfyllt kravet på information till den registrerade (den boende) samt -

text: 15 § kamerabevakningslagen (2018:1200)

text: genom att inte ha lämnat upplysning om kamerabevakningen genom tydlig skyltning eller på något annat verksamt sätt.

text: Administrativa sanktionsavgifter

text: Datainspektionen beslutar med beslutar med stöd av artiklarna 58.2 och 83 i dataskyddsförordningen,

text: 6 kap. 2 § lagen (2018:218)

text: med kompletterande bestämmelser till EU:s dataskyddsförordning samt 25 § punkt 4 i

text: kamerabevakningslagen (2018:1200)

text: att Gnosjö kommun - Socialutskottet för

text: överträdelserna av artikel 5.1 a, artikel 6.1, artikel 9.2, artikel 13, artikel 35 och artikel 36 i dataskyddsförordningen samt

text: 15 § kamerabevakningslagen

text: ska betala en administrativ sanktionsavgift på 200 000 kronor.

text: Redogörelse för tillsynsärendet

text: Bakgrund

text: Datainspektionen har den 2 maj 2019 mottagit en anmälan från en anhörig till en boende på ett LSS-boende i Gnosjö kommun enligt vilken socialutskottet i Gnosjö kommun (nedan socialutskottet) behandlar personuppgifter genom att kamerabevaka en boende på ett av kommunens LSS-boenden. Enligt anmälan ska socialutskottet ha uppgett att kamerabevakningen sker med stöd av ett godkännande/samtycke från den boendes familj och före detta förvaltare till den boende. Något godkännande/samtycke finns inte enligt ingivaren av anmälan.

text: Datainspektionen har med anledning av de uppgifter som anmälan innehåller inlett tillsyn i syfte att granska om den behandling av personuppgifter som socialutskottet ska ha genomfört genom kamerabevakning är i enlighet med dataskyddsreglerna och

text: kamerabevakningslagen

text: Tillsynsärendet inleddes med en tillsynsskrivelse den 15 juli 2019. Svar på tillsynsskrivelsen kom in den 21 augusti 2019. Kompletterande skrivelser från socialutskottet har kommit in den 2 december 2019, den 11 maj 2020, den 12 augusti 2020 samt den 4 november 2020.

text: Vad som framkommit i ärendet

text: Socialutskottet har behandlat personuppgifter genom att i realtid kamerabevaka en boende på ett LSS-boende i syfte att öka säkerheten för den boende. Kameran installerades i mars 2019 och bevakningen upphörde den 29 april 2020 i samband med att verksamheten övertogs av en annan utförare.

text: Socialutskottet har uppgett följande. Den boende har bott på LSS-boendet sedan hösten 2013. Hen behöver stöd i sin vardag dygnet runt av två personer, då hen utsätter sig för allvarligt självskadebeteende och behöver få hjälp att förhindra detta. Vid känslomässigt svåra situationer vill hen vara själv i sitt sovrum med stängd dörr, personalen har då befunnit sig i vardagsrummet och varit beredda att gå in vid behov. Det har hänt att det har blivit helt tyst inne

text: hos den boende och när personal öppnat dörren för att se hur hen mår så har hen sovit men väckts när dörren öppnats. Den boende har då återigen blivit känslomässigt upprörd och risk för självskadebeteende har funnits. Vid andra tillfällen har det hänt att den boende allvarligt skadat sig själv utan att personal har hört något.

text: Under den boendes första tid på LSS-boendet var det periodvis tre personal i tjänst, trots det så hände det flera gånger att både den boende och personalen kom till skada. Det har varit så allvarliga incidenter att det har inneburit en stor fara för hens liv. Efter att personalgruppen har fått både utbildning och handledning beslutade verksamheten att det är bättre för den boende att endast ha två personal i tjänst dygnet runt och så har de arbetat sedan våren 2014. Personalen har märkt att när den boende blir orolig och visar tecken på att vilja skada sig själv, personal eller saker så går det snabbare över om de låter hen vara själv i sitt sovrum.

text: Sedan kameran installerades har det inte inträffat några allvarliga incidenter när den boende varit själv i sovrummet. Personalen har snabbt kunnat uppmärksamma vad hen haft för sig och de har heller inte behövt störa när hen kommit till ro. Att kameran installerats innebär inte en minskning av antalet personal i tjänst; de är alltid dubbelbemannade dygnet runt.

text: Kameran används endast i realtid för att se hur den boende mår, inget material sparas. Det sker heller ingen ljudupptagning. Om den boende vill ha personal inne på sitt rum så är personalen där och kameran används då inte.

text: Motivering av beslut

text: Personuppgiftsansvarig

text: Socialutskottet har uppgett att socialutskottet är personuppgiftsansvarig för den behandling av personuppgifter som har skett genom kamerabevakning av en boende på ett av kommunens LSS-boenden. Detta understöds av utredningen där det framgår att det är socialutskottet som beslutat om kamerabevakningen och bestämt ändamål och medel med personuppgiftsbehandlingen.

text: Vilka regler gäller vid kamerabevakning

text: Kamerabevakning är en form av personuppgiftsbehandling.

text: Kameraövervakningslagen (2013:460)

text: , som socialutskottet hänvisat till, ersattes den 1 augusti 2018 av

text: kamerabevakningslagen (2018:1200)

text: och den gäller numera i dess ställe. Hur och i vilken utsträckning det är tillåtet att kamerabevaka regleras således i dataskyddsförordningen och

text: kamerabevakningslagen

text: (KBL), som kompletterar dataskyddsförordningen.

text: Av 2 § KBL framgår att syftet med lagen är att tillgodose behovet av kamerabevakning för berättigade ändamål och att skydda fysiska personer mot otillbörligt intrång i den personliga integriteten vid sådan bevakning.

text: Definitionen av kamerabevakning i 3 § KBL innebär bland annat att det ska vara fråga om utrustning, som utan att manövreras på platsen, används på ett sätt som innebär varaktig eller regelbundet upprepad personbevakning

text: Enligt 7 § KBL krävs tillstånd till kamerabevakning av en plats dit allmänheten har tillträde, om bevakningen ska bedrivas av en myndighet.

text: Socialutskottet är en myndighet och måste därför som utgångpunkt ha tillstånd för att kamerabevaka en plats dit allmänheten har tillträde. Frågan är då om allmänheten anses ha tillträde till den plats som socialutskottet kamerabevakar. Av praxis framgår att begreppet ”plats dit allmänheten har tillträde” ska tolkas vitt (se Högsta förvaltningsrättens avgörande

text: RÅ 2000 ref. 52

text: Datainspektionens bedömning

text: Datainspektionen konstaterar att det är fråga om varaktig och regelbundet upprepad personbevakning, med en kamera som inte manövreras på platsen, när socialutskottet använder sig av kamerabevakning och filmar en boende på ett LSS-boende, i sitt sovrum, i realtid.

text: Mot bakgrund av vad som framkommit om platsen för bevakningen, den boendes sovrum, bedömer Datainspektionen att det inte är fråga om en plats dit allmänheten har tillträde. Något krav på att söka tillstånd finns därmed inte. Att kamerabevakningen är tillståndsfri innebär endast att reglerna i

text: kamerabevakningslagen

text: om tillstånd för kamerabevakning inte gäller. Andra regler i

text: kamerabevakningslagen

text: gäller precis som för tillståndspliktig kamerabevakning, såsom regler om tystnadsplikt och information och när

text: kamerabevakningen innefattar personuppgiftsbehandling gäller reglerna i dataskyddsförordningen.

text: Grundläggande principer för behandling av personuppgifter (artikel 5)

text: I artikel 5 i dataskyddsförordningen finns ett antal grundläggande principer som den personuppgiftsansvarige måste beakta vid behandlingen av personuppgifter.

text: Den personuppgiftsansvarige har enligt artikel 5.2 i dataskyddsförordningen ansvar för efterlevnaden av förordningen och ska kunna visa att de grundläggande principerna följs.

text: Av artikel 5.1 a följer att all personuppgiftsbehandling måste vara laglig, korrekt och präglas av öppenhet. Att behandlingen ska vara korrekt innebär att den ska vara rättvis, skälig, rimlig och proportionerlig i förhållande till de registrerade.

text: I artikel 5.1 c regleras principen om uppgiftsminimering, som innebär att personuppgifter som behandlas vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas.

text: Av skäl 39 följer att personuppgifter endast bör behandlas om syftet med behandlingen inte rimligen kan uppnås genom andra medel.

text: Datainspektionens bedömning

text: Vid en bedömning av om behandlingen är proportionerlig måste behovet av att genomföra behandlingen vägas mot intrånget i den enskildes personliga integritet. Beträffande behovet av behandlingen kan Datainspektionen konstatera att den information som socialutskottet har lämnat visar att den boendes sjukdomsbild skapar stora svårigheter såväl för hen själv som för personalen, och att det uppkommit situationer där det varit fråga om risk för den boendes liv och hälsa. Det har även förekommit att personal kommit till skada. Utredningen i ärendet stödjer socialutskottets bedömning att det har funnits ett behov av att vidta åtgärder för att hantera och förbättra situationen. Det problem som har uppstått tidigare och som kommunen har lyckats stävja genom kamerabevakningen, består i att när den boende blir upprörd lugnas hen bäst genom att få dra sig tillbaka och vara själv i sovrummet, samtidigt som det just då är som störst risk att hen skadar sig

text: själv allvarligt. Det har således funnits ett behov av att kunna ha den boende under uppsikt utan att denne blir störd av personalen.

text: Datainspektionen konstaterar samtidigt att den aktuella kamerabevakningen innebär att den boende kamerabevakas i sitt sovrum. Det är därmed fråga om en mycket integritetskänslig behandling av personuppgifter som innebär att den boende övervakas i hemmets mest privata sfär. Datainspektionen bedömer att kamerabevakningen har inneburit ett betydande intrång i den boendes personliga integritet.

text: För att en sådan bevakning ska kunna bedömas vara ett acceptabelt intrång i den personliga integriteten måste alternativa åtgärder först kunna uteslutas. Datainspektionen konstaterar att socialutskottet tidigare har vidtagit åtgärder i form av t.ex. handledning, för att försöka förbättra situationen. Det framgår emellertid inte av utredningen att socialutskottet har försökt uppfylla just behovet av att hålla den boende under uppsikt utan att riskera att störa hen, med mindre ingripande åtgärder än genom kamerabevakning. Enligt Datainspektionens bedömning borde det för socialutskottet vara möjligt att med relativt enkla och mindre integritetsingripande åtgärder tillgodose samma behov som med kamerabevakningen.

text: Datainspektionen finner mot den bakgrunden att socialutskottet inte har visat att intresset av kamerabevakningen överstiger den boendes rätt till personlig integritet och en fredad privat sfär. Datainspektionen konstaterar att det sätt som kamerabevakningen utförts på inneburit en omfattande övervakning av den boende som medfört ett betydande ingrepp i den boendes personliga integritet. Det innebär att behandlingen av personuppgifter, dvs. kamerabevakningen, varit oproportionerlig i förhållande till ändamålet. Den behandling av personuppgifter som skett genom kamerabevakningen har därmed inte levt upp till kraven på korrekthet i artikel 5.1 a i dataskyddsförordningen. Som Datainspektionen anger i det följande i motiveringen under rubrikerna Rättslig grund för behandlingen av personuppgifter (artikel 6), Behandling av känsliga personuppgifter (artikel 9) och Information till de registrerade har behandlingen av personuppgifter skett utan rättslig grund i artikel 6.1, utan stöd i artikel 9.2 och utan att det är visat att den boende fått information enligt artikel 13 i dataskyddsförordningen och inte heller enligt kraven i

text: kamerabevakningslagen

text: . Det innebär att socialutskottet inte heller kan anses ha levt upp till kraven i artikel 5.1 a i dataskyddsförordningen på laglighet och öppenhet.

text: Rättslig grund för behandlingen av personuppgifter (artikel 6)

text: Enligt artikel 5.1 a i dataskyddsförordningen ska personuppgifterna behandlas på ett lagligt sätt. För att behandlingen ska anses vara laglig krävs det att åtminstone ett av villkoren i artikel 6.1 är uppfyllda.

text: Socialutskottet har uppgett att den rättsliga grund som är tillämplig på den aktuella personuppgiftsbehandlingen är att behandlingen är nödvändig för att utföra en uppgift av allmänt intresse enligt artikel 6.1 e i dataskyddsförordningen. Tillhandahållande av socialtjänst är en sådan uppgift av allmänt intresse som avses i artikel 6.1 e. När det är frågan om den rättsliga grunden allmänt intresse och myndighetsutövning får medlemsstaterna enligt artikel 6.2 behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen till nationella förhållanden. Nationell rätt kan närmare fastställa specifika krav för uppgiftsbehandlingen och andra åtgärder för att säkerställa en laglig och rättvis behandling. Men det finns inte bara en möjlighet att införa nationella regler utan också en skyldighet; artikel 6.3 anger att den grund för behandlingen som avses i punkt 1 c och e ska fastställas i enlighet med unionsrätten eller medlemsstaternas nationella rätt.

text: Den rättsliga grunden kan även innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen. Unionsrätten eller medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. Det innebär att det krävs kompletterande bestämmelser i nationell rätt genom vilka grunden för behandlingen fastställs. Av skäl 41 framgår att en sådan rättslig grund eller lagstiftningsåtgärd bör vara tydlig och precis och dess tillämpning bör vara förutsägbar för personer som omfattas av den.

text: För behandling av personuppgifter i socialtjänstens verksamhet fastställs grunden för behandlingen i

text: 6 § lag (2001:454)

text: om behandling av personuppgifter inom socialtjänsten (SoLPuL). Av den bestämmelsen framgår att personuppgifter får behandlas bara om behandlingen är nödvändig för att arbetsuppgifter inom socialtjänsten skall kunna utföras.

text: Av förarbetena till

text: dataskyddslagen

text: utvecklas vad skäl 41 innebär för kompletterande nationell lagstiftning (

text: prop. 2017/18:105

text: Ny dataskyddslag s. 51).

text: Vilken grad av tydlighet och precision som krävs i fråga om den rättsliga grunden för att en viss behandling av personuppgifter

text: ska anses vara nödvändig måste enligt regeringens mening bedömas från fall till fall, utifrån behandlingens och

text: verksamhetens karaktär. Det torde stå klart att en behandling av personuppgifter som inte utgör någon egentlig kränkning av den

text: personliga integriteten, såsom när det gäller behandling av

text: elevers namn i reguljär skolverksamhet, kan ske med stöd av en rättslig grund som är allmänt hållen. Ett mer kännbart intrång,

text: t.ex. behandling av känsliga personuppgifter inom hälso- och

text: sjukvården, kräver att den rättsliga grunden är mer preciserad

text: och därmed gör intrånget förutsebart. Om intrånget är betydande och innebär övervakning eller kartläggning av den enskildes personliga förhållanden krävs dessutom särskilt

text: lagstöd enligt 2 kap. 6 och 20 §§ RF.

text: Det innebär att kraven på den kompletterande nationella regleringen avseende precision och förutsägbarhet ökar när det är frågan om ett mer kännbart intrång. Om intrånget är betydande och innebär övervakning eller kartläggning av den enskildes personliga förhållanden, vilket den aktuella behandlingen gör, krävs dessutom särskilt lagstöd enligt

text: 2 kap.

text: och

text: 20 §§

text: regeringsformen

text: Datainspektionens bedömning

text: Datainspektionen konstaterar att

text: 6 §

text: SoLPuL är en tämligen bred och opreciserad bestämmelse som utgör grund för behandling av personuppgifter inom ett stort antal områden. Enligt Datainspektionens bedömning kan enskilda genom bestämmelsen förutse att socialtjänsten behandlar stora mängder integritetskänslig information om enskilda i sin verksamhet, såsom till exempel vid ärendehandläggning. Det kan emellertid inte antas att enskilda kan förutse att Socialtjänsten även kan komma att utföra integritetskänslig kamerabevakning. Mot bakgrund av att kamerabevakningen utgör en ytterst integritetskänslig behandling och att det därmed ställs höga krav på den nationella regleringen avseende precision och förutsägbarhet, bedömer Datainspektionen att den rättsliga grunden i

text: 6 §

text: SoLPuL inte kan utgöra kompletterande nationell bestämmelse till den rättsliga grunden i artikel 6.1 e i dataskyddsförordningen när det är fråga om integritetskänslig kamerabevakning.

text: Därtill ställer

text: 6 §

text: SoLPuL krav på att behandlingen är nödvändig för att utföra en arbetsuppgift inom socialtjänsten. Beträffande innebörden av begreppet nödvändig, framgår följande av förarbetena till

text: dataskyddslagen

text: prop. 2017/18:105 s. 51

text: Enligt Svenska Akademiens Ordbok betyder det svenska ordet nödvändig att någonting absolut fordras eller inte kan

text: underlåtas. Det unionsrättsliga begreppet har dock inte denna

text: strikta innebörd. Nödvändighetsrekvisitet i artikel 7 i

text: dataskyddsdirektivet har t.ex. inte ansetts utgöra ett krav på att det ska vara omöjligt att utföra en uppgift av allmänt intresse utan att behandlingsåtgärden vidtas (

text: prop. 2017/18:105 s. 46

text: Även om nödvändighetskravet inte innebär att det ska vara omöjligt att utföra en uppgift av allmänt intresse om inte behandlingen genomförs, kan det enligt Datainspektionens bedömning inte anses vara nödvändigt att genomföra en integritetskänslig behandling av personuppgifter via kamerabevakning om det finns andra rimliga alternativ för att utföra en uppgift som fyller samma syfte. Såsom Datainspektionen tidigare konstaterat borde socialutskottet med kunna leva upp till syftet med kamerabevakningen på ett annat sätt än med just kamerabevakning. Därmed är inte heller kravet på att behandlingen ska vara nödvändig för att den kompletterande nationella regleringen i

text: 6 §

text: SoLPuL ska vara tillämplig uppfyllt.

text: Socialutskottet har därmed genom kamerabevakningen behandlat personuppgifter utan att ha en rättslig grund för behandlingen enligt artikel 6.1 e i dataskyddsförordningen. Någon annan rättslig grund för behandlingen enligt artikel 6.1 har heller inte visats föreligga.

text: Behandling av känsliga personuppgifter (artikel 9)

text: Av artikel 9.1 i dataskyddsförordningen följer att uppgifter om hälsa utgör en

text: särskild kategori av personuppgifter (så kallade känsliga personuppgifter).

text: Huvudregeln är att behandling av sådana personuppgifter är förbjuden. I artikel 9.2 anges ett antal undantag då känsliga personuppgifter får behandlas.

text: Socialutskottet har uppgett att kameran kan komma att bevaka situationer i vilka den boendes sjukdomsbild och hälsotillstånd framkommer. Det innebär

text: att den aktuella kamerabevakningen på LSS-boendet innefattar behandling av uppgifter om hälsa dvs. känsliga personuppgifter.

text: För att en behandling av känsliga personuppgifter ska vara laglig krävs både en rättslig grund enligt artikel 6.1 och att något av undantagen från förbudet att behandla känsliga personuppgifter i artikel 9.2 är tillämpligt. Redan den omständigheten att socialutskottet har genomfört kamerabevakningen utan att ha en rättslig grund för behandlingen enligt artikel 6.1 innebär att behandlingen har skett i strid med artikel 9 i dataskyddsförordningen.

text: Om det däremot hade funnits en rättslig grund för behandlingen enligt artikel 6.1, skulle socialutskottet således även behövt tillämpa något av undantagen i artikel 9.2 för att personuppgiftsbehandlingen skulle vara laglig.

text: Av artikel 9.2 h framgår att behandling av känsliga personuppgifter får ske om behandlingen är nödvändig av skäl som hör samman med /…/ social omsorg eller förvaltning av hälso- och sjukvårdstjänster och social omsorg och av deras system, på grundval av unionsrätten eller medlemsstaternas nationella rätt eller enligt avtal med yrkesverksamma på hälsoområdet och under förutsättning att de villkor och skyddsåtgärder som avses i punkt 3 är uppfyllda.

text: För att undantaget i artikel 9.2 h ska kunna tillämpas krävs således kompletterande regler i unionsrätt eller nationell rätt. I svensk rätt har möjligheten att behandla känsliga personuppgifter i socialtjänstens verksamhet reglerats i

text: 7 § 3 st

text: SoLPuL. Av den bestämmelsen framgår att känsliga personuppgifter får behandlas med stöd av artikel 9.2 h i dataskyddsförordningen om uppgifterna har lämnats i ett ärende eller är nödvändiga för verksamheten och under förutsättning att kravet på tystnadsplikt i artikel 9.3 i dataskyddsförordningen är uppfyllt.

text: För behandling av känsliga personuppgifter enligt artikel 9 i dataskyddsförordningen ställs således än högre krav på den kompletterande nationella regleringen avseende precision och förutsägbarhet för att den ska vara tillämplig. Då den generellt utformade nationella regleringen inte kan anses leva upp till kraven på precision och förutsägbarhet och därmed utgöra rättslig grund för behandling av inte känsliga personuppgifter genom kamerabevakningen, kan inte heller den på motsvarande sätt generellt utformade nationella bestämmelsen avseende behandling av känsliga

text: personuppgifter anses leva upp till kraven på precision och förutsägbarhet. Bestämmelsen i

text: 7 §

text: SoLPuL kan därmed inte utgöra sådan kompletterande nationell rätt som krävs för att undantaget i artikel 9.2 h i dataskyddsförordningen ska vara tillämpligt för behandling av känsliga personuppgifter genom kamerabevakning.

text: Därtill ställs det i

text: 7 §

text: SoLPuL även krav på att uppgifterna har lämnats i ett ärende eller är nödvändiga för verksamheten för att bestämmelsen ska kunna tillämpas. Då personuppgiftsbehandlingen inte avser ett ärende utan kamerabevakningen utgör ett faktiskt handlande, måste uppgifterna vara nödvändiga för verksamheten får att behandlingen ska kunna utföras. Eftersom nödvändighetskravet emellertid inte kan anses vara uppfyllt avseende kravet på rättslig grund för behandling av personuppgifter, kan det inte heller anses vara uppfyllt avseende undantaget i artikel 9.2 h mot förbudet att behandla känsliga personuppgifter.

text: Datainspektionens bedömning

text: Även om socialutskottet skulle haft en rättslig grund enligt artikel 6.1 i dataskyddsförordningen, uppfyller personuppgiftsbehandlingen genom kamerabevakning sammanfattningsvis inte kravet på ett i artikel 9.2 tillämpligt undantag från förbudet mot att behandla känsliga personuppgifter. Datainspektionen bedömer därmed att Gnosjö kommun genom att kamerabevaka situationer där sjukdomsbild och hälsotillstånd framkommit behandlat känsliga personuppgifter i strid med artikel 9.1 och 9.2 i dataskyddsförordningen.

text: Konsekvensbedömning och förhandssamråd (artikel 35 och 36)

text: Av artikel 35 i dataskyddsförordningen följer att en personuppgiftsansvarig i vissa fall måste göra en konsekvensbedömning avseende dataskydd dvs. före behandlingen av personuppgifter göra en bedömning av en planerad behandlings konsekvenser för skyddet av personuppgifter. Skyldigheten gäller om en typ av behandling, särskilt med användning av ny teknik och med beaktande av dess art, omfattning, sammanhang och ändamål, sannolikt leder till en hög risk för fysiska personers rättigheter och friheter.

text: Av artikel 35.7 framgår vad en konsekvensbedömning ska innehålla. Den ska åtminstone innehålla en beskrivning av den planerade behandlingen och behandlingens syften, en bedömning av behovet av och proportionaliteten hos behandlingen, en bedömning av riskerna för de registrerades rättigheter

text: och friheter samt de åtgärder som planeras för att hantera riskerna och visa att dataskyddsförordningen efterlevs.

text: En konsekvensbedömning kan således beskrivas som ett verktyg för att identifiera risker med behandlingen av personuppgifter och ta fram rutiner och åtgärder för att hantera riskerna, och därmed bedöma om behandlingen är proportionerlig i förhållande till syftet med den. Att genomföra en konsekvensbedömning innan behandlingen påbörjas är således ofta en viktig åtgärd för att bedöma om en behandling är laglig.

text: Enligt artikel 36 ska den personuppgiftsansvarige samråda med Datainspektionen före behandlingen om en konsekvensbedömning avseende dataskydd enligt artikel 35 visar att behandlingen skulle leda till en hög risk om inte den personuppgiftsansvarige vidtar åtgärder för att minska risken.

text: Datainspektionen har, med ledning av riktlinjer från Artikel 29arbetsgruppen och de kriterier som gruppen tagit fram, beslutat en förteckning över personuppgiftsbehandling som omfattas av krav på konsekvensbedömning avseende dataskydd (2019-01-16, dnr DI-2018-13200). Förteckningen kompletterar och specificerar artikel 35.1 och är avsedd att

text: närmare exemplifiera när förutsättningarna i den bestämmelsen kan anses vara uppfyllda. Förteckningen är inte avsedd att på ett uttömmande sätt ange när en konsekvensbedömning måste göras. Kriterier som ska beaktas vid bedömningen av om en planerad behandling sannolikt leder till hög risk är bland annat om behandlingen avser systematisk övervakning av människor, känsliga uppgifter eller uppgifter av mycket personlig karaktär, uppgifter om sårbara personer eller användning av ny teknik eller nya organisatoriska lösningar.

text: En konsekvensbedömning ska göras om minst två av de i förteckningen uppräknade punkterna finns med i den planerade behandlingen. Det är endast obligatoriskt att utföra en konsekvensbedömning om den planerade behandlingen ”sannolikt leder till en hög risk för fysiska personers rättigheter och friheter”. En behandling kan uppfylla två eller flera av kriterierna men den personuppgiftsansvarige kan ändå göra bedömningen att den sannolikt inte leder till en hög risk. I sådana situationer bör den personuppgifts-ansvarige motivera och dokumentera anledningarna till att en konsekvensbedömning inte utförs och inkludera dataskyddsombudets synpunkter. I slutet av Datainspektionens förteckning ges också exempel på när minst två av kriterierna ska anses föreligga och därmed när en konsekvensbedömning måste göras. Som exempel anges när verksamheter inom social omsorg använder kamerabevakning i människors boende.

text: Socialutskottet har uppgett att de inte har gjort någon konsekvensbedömning eftersom de inte sparar information från kamerabevakningen. Socialutskottet har inte heller kommit in med någon begäran om förhandssamråd till Datainspektionen.

text: Datainspektionens bedömning

text: Datainspektionen konstaterar att kriterier som ska beaktas vid bedömningen av om en behandling sannolikt leder till hög risk är om behandlingen avser systematisk övervakning av människor, känsliga uppgifter eller uppgifter av mycket personlig karaktär, uppgifter om sårbara personer eller tillämpning av ny teknik eller organisatoriska lösningar.

text: Av Datainspektionens förteckning framgår att när verksamheter inom social omsorg använder välfärdsteknik, t.ex. robotar eller kamerabevakning, i människors boende, så är det ett exempel på behandling som kräver att en konsekvensbedömning utförs. Då anses kriterierna gällande systematisk

text: övervakning, behandling av känsliga personuppgifter samt användning av ny teknik eller nya organisatoriska lösningar vara uppfyllda.

text: Enligt Datainspektionens bedömning har den aktuella behandlingen omfattat ett antal kriterier som talar för att behandlingen sannolikt leder till en hög risk för den registrerades fri- och rättigheter. Ett uttryckligt exempel i Datainspektionens förteckning över när konsekvensbedömning krävs enligt dataskyddsförordningen är när verksamheter inom social omsorg, som i detta fall, använder kamerabevakning i människors boende. Då socialutskottet inte har redogjort för sin bedömning att inte genomföra en konsekvensbedömning har den inte visat att behandlingen sannolikt inte leder till hög risk, trots att flera av kriterierna i riktlinjerna är uppfyllda. Enligt Datainspektionens bedömning har socialutskottet därmed behandlat personuppgifter i strid med artikel 35 i dataskyddsförordningen.

text: Utifrån vad som har framkommit i ärendet så har socialutskottet inte heller kommit in med ett förhandssamråd. Eftersom socialutskottet inte gjort någon konsekvensbedömning så har det inte heller gjorts någon bedömning av om behandlingen medförde några risker för den registrerades fri- och rättigheter. Därmed har socialutskottet inte heller kunnat visa att den höga risk som sannolikt föreligger har sänkts på ett sådant sätt att det har saknats anledning att begära förhandssamråd hos Datainspektionen. Enligt Datainspektionens bedömning har socialutskottets behandling av personuppgifter således även skett i strid med artikel 36 i dataskyddsförordningen.

text: Information till registrerade

text: I artikel 13 i dataskyddsförordningen anges vilken information som ska tillhandahållas om personuppgifter samlas in från den registrerade, såsom information om identitet och kontaktuppgifter för den personuppgiftsansvarige, ändamålen med behandlingen för vilken personuppgifterna är avsedda, den rättsliga grunden, den period under vilken personuppgifterna kommer lagras samt den registrerades rättigheter.

text: Av artikel 12 i dataskyddsförordningen framgår att den personuppgiftsansvarige ska vidta lämpliga åtgärder för att till den registrerade tillhandahålla all information som avses i artikel 13, och att sådan information ska tillhandahållas i en koncis, klar, tydlig, begriplig och lätt tillgänglig form och med användning av klart och tydligt språk. Informationen ska tillhandahållas skriftligt eller i någon annan form. Av skäl

text: 58 i dataskyddsförordningen framgår att information ska vara kortfattad, lättåtkomlig och lättbegriplig samt utformad på ett tydligt och enkelt språk samt att man vid behov använder visualisering.

text: Socialutskottet har uppgett att de lämnat muntlig information till den boende, den boendes förvaltare och anhöriga. Även personal och besökare uppges ha fått del av information om kamerabevakningen.

text: Beträffande den information som lämnats till den boende har Socialutskottet uppgett att den boende har fått information om kamerabevakningen genom att hen var med och tittade på när kameran installerades, och att chefen muntligt förklarat för den boende att syftet med kameran är att personalen ska veta att den boende mår bra. Det har inte framkommit att det därutöver lämnats några andra uppgifter om kamerabevakningen till den boende.

text: Datainspektionen konstaterar att den information som socialutskottet lämnat till den registrerade (den boende) endast omfattar information om att kamerabevakning pågår, och inte all den information som den personuppgiftsansvarige är skyldig att lämna till den registrerade vid insamling av personuppgifter enligt artikel 13 i dataskyddsförordningen.

text: Socialutskottet har även uppgett att information har lämnats till den registrerades förvaltare. Av

text: 11 kap

text: och

text: 7 §§

text: föräldrabalken (1949:381)

text: framgår att rätten får förordna om förvaltare för den som på grund av sjukdom, psykisk störning, försvagat hälsotillstånd eller liknande förhållande behöver hjälp med att bevaka sin rätt, förvalta sin egendom eller sörja för sin person, och det inte är tillräckligt att god man förordnas eller att den enskilde på något annat mindre ingripande sätt får hjälp. Förvaltaruppdraget ska anpassas till den enskildes behov i varje särskilt fall och får begränsas till att avse viss egendom eller angelägenhet.

text: Datainspektionen konstaterar att även när en förvaltares uppdrag är utformat på så sätt att det omfattar uppgiften att sörja för den enskildes person finns det begränsningar i vad en förvaltare får lov att göra. Av förarbetena till bestämmelserna om förvaltarskap framgår följande.

text: I allmänhet bör huvudmannen också själv få bestämma i frågor som rör hans boende liksom innehållet i erbjuden vård. En

text: förvaltare bör således i normala fall inte företräda huvudmannen

text: när det gäller frågor om samtycke till t ex operativa ingrepp. Detta hindrar naturligtvis inte att man från bl.a. vårdinrättningars sida inhämtar förvaltarens synpunkter (

text: prop. 1987/88:124 s 172

text: Datainspektionen har i begäran om komplettering skickad den 15 juni 2020 uppmanat socialutskottet att lämna underlag till Datainspektionen avseende förvaltaruppdragets omfattning och vilken information som lämnats till förvaltaren. Socialutskottet har emellertid inte kommit in med underlaget avseende förvaltaruppdragets omfattning och har heller inte redogjort för vilken information som lämnats till förvaltaren. Socialutskottet har därutöver inte heller redogjort för sin bedömning att förvaltaren kan företräda den boende avseende dennes rätt till information enligt artikel 13 i dataskyddsförordningen.

text: Datainspektionens bedömning

text: Socialutskottet har inte visat att det finns en möjlighet att informera förvaltaren, istället för den registrerade i det aktuella ärendet, eller att den information som framgår av artikel 13 i dataskyddsförordningen har lämnats. Socialutskottet har således inte uppfyllt informationsplikten genom att informera förvaltaren. Då inte heller den information som socialutskottet har lämnat till den boende är tillräcklig för att informationsplikten ska vara uppfylld, har socialutskottets behandling av personuppgifter även skett i strid med artikel 13 i dataskyddsförordningen.

text: Vidare framgår det av

text: 15 § kamerabevakningslagen

text: (KBL) att upplysning om kamerabevakning ska lämnas genom tydlig skyltning eller på något annat verksamt sätt. Det framkommer även att bestämmelser om rätten till information om den personuppgiftsbehandling som kamerabevakningen innebär finns i dataskyddsförordningen och andra föreskrifter som anges i 6 § KBL.

text: Socialutskottet har inte lämnat information om att det finns någon skylt som informerar om att kamerabevakning bedrivs. För att socialutskottet ska anses ha levt upp till kraven gällande upplysning i

text: kamerabevakningslagen

text: måste således upplysning om kamerabevakning anses ha lämnats på något annat verksamt sätt.

text: Som konstaterats ovan lever den information om kamerabevakningen som socialutskottet uppger sig har lämnat inte upp till kraven på information enligt dataskyddsförordningen. Datainspektionen bedömer vidare att socialutskottet inte heller levt upp till kraven på att lämna upplysning om kamerabevakning på annat verksamt sätt. Det innebär att behandlingen av personuppgifter även skett i strid med kravet på upplysning i 15 § KBL. Eftersom den boende inte fått föreskriven information enligt dataskyddsförordningen och inte heller enligt

text: kamerabevakningslagen

text: kan socialutskottet inte anses ha levt upp till kraven på öppenhet i artikel 5.1 a i dataskyddsförordningen.

text: Val av ingripande

text: Rättslig reglering

text: Om det skett en överträdelse av dataskyddsförordningen har Datainspektionen ett antal korrigerande befogenheter att tillgå enligt artikel 58.2 a–j i dataskyddsförordningen. Tillsynsmyndigheten kan bland annat förelägga den personuppgiftsansvarige att se till att behandlingen sker i enlighet med förordningen och om så krävs på ett specifikt sätt och inom en specifik period.

text: Av artikel 58.2 i dataskyddsförordningen följer att Datainspektionen i enlighet med artikel 83 ska påföra sanktionsavgifter utöver eller i stället för andra korrigerande åtgärder som avses i artikel 58.2, beroende på omständigheterna i varje enskilt fall.

text: För myndigheter får enligt artikel 83.7 i dataskyddsförordningen nationella regler ange att myndigheter kan påföras administrativa sanktionsavgifter. Enligt

text: 6 kap. 2 § dataskyddslagen

text: kan sanktionsavgifter beslutas för myndigheter, men till högst 5 000 000 kronor alternativt 10 000 000 kronor beroende på om överträdelsen avser artiklar som omfattas av artikel 83.4 eller 83.5 i dataskyddsförordningen. Av 25 § punkt 4 KBL framgår även att sanktionsavgift kan tas ut av den som bedriver kamerabevakning och bryter mot upplysningskravet i 15 §.

text: I artikel 83.2 anges de faktorer som ska beaktas för att bestämma om en administrativ sanktionsavgift ska påföras, men också vad som ska påverka sanktionsavgiftens storlek. Av central betydelse för bedömningen av

text: överträdelsens allvar är dess karaktär, svårighetsgrad och varaktighet. Om det är fråga om en mindre överträdelse får tillsynsmyndigheten, enligt skäl 148 i dataskyddsförordningen, utfärda en reprimand i stället för att påföra en sanktionsavgift.

text: Sanktionsavgift

text: Datainspektionens tillsyn har visat att socialutskottet har behandlat personuppgifter i strid med artiklarna 5, 6.1, 9.2, 13, 35 och 36 i dataskyddsförordningen. Därtill har socialutskottet brutit mot 15 § KBL.

text: Vid bedömningen av om överträdelserna är så allvarliga att en administrativ sanktionsavgift ska påföras har Datainspektionen beaktat att personuppgiftsbehandlingen avsett kamerabevakning av en boende i en mycket privat sfär och i en beroendeställning, där behandlingen i viss mån omfattat känsliga personuppgifter. Behandlingen har pågått från mars 2019april 2020, vilket bedöms som en relativt lång tid. Hänsyn har också tagits till att Datainspektionen har fått kännedom om behandlingen genom ett tips från en anhörig till den registrerade. Dessa omständigheter ses som försvårande. Enligt Datainspektionens bedömning har behandlingen inte inneburit en mindre överträdelse utan överträdelser som ska leda till en administrativ sanktionsavgift.

text: Då de artiklar i dataskyddsförordningen som socialutskottet överträtt omfattas av artikel 83.5 i dataskyddsförordningen samt avser en överträdelse av upplysningsplikten i 15 § KBL är det maximala beloppet för sanktionsavgiften i detta fall 10 miljoner kronor, enligt

text: 6 kap. 2 § andra stycket lagen (2018:218)

text: med kompletterande bestämmelser till EU:s dataskyddsförordning.

text: Den administrativa sanktionsavgiften ska vara effektiv, proportionerlig och avskräckande. Det innebär att beloppet ska bestämmas så att den administrativa sanktionsavgiften leder till rättelse, att den ger en preventiv effekt och att den dessutom är proportionerlig i förhållande till såväl aktuella överträdelser som till tillsynsobjektets betalningsförmåga.

text: Vid fastställandet av ett belopp som är effektivt, proportionerligt och avskräckande kan Datainspektionen konstatera att socialutskottet har behandlat känsliga personuppgifter om en boende i situation som är mycket privat och som innebär att boenden befinner sig i en beroendeställning

text: gentemot kommunen. Överträdelsen avser övervakning av en person i dennes sovrum, vilket är en mycket integritetskränkande behandling. Därtill har behandlingen pågått under relativt lång tid, i mer än ett år. Datainspektionen har tagit hänsyn till att boenden har ett allvarligt självskadebeteende, stundtals med fara för liv och hälsa både för sig själv och personalen. Socialutskottet har vidtagit åtgärden för att lösa en komplex situation där personal och boenden har riskerat att komma till skada. Även om situationen har varit svår att hantera har socialutskottet inte prövat alternativa, mindre ingripande åtgärder för att lösa problemet med att kunna ha den boende under uppsikt på ett smidigt sätt innan kamerabevakningen påbörjades.

text: Mot bakgrund av överträdelsernas allvar och att den administrativa sanktionsavgiften ska vara effektiv, proportionerlig och avskräckande finner Datainspektionen att den administrativa sanktionsavgiften för socialutskottet ska bestämmas till 200 000 kronor.

text: Detta beslut har fattats av generaldirektören Lena Lindgren Schelin efter föredragning av juristen Jeanette Bladh Gustafson. Vid den slutliga handläggningen har även chefsjuristen Hans-Olof Lindblom och enhetscheferna Malin Blixt och Charlotte Waller Dahlberg medverkat.

text: Lena Lindgren Schelin, 2020-11-24 (Det här är en elektronisk signatur)

text: Bilaga

text: Hur man betalar sanktionsavgift

text: Kopia för kännedom till:

text: Dataskyddsombud för Gnosjö kommun: dataskyddsombud@gislaved.se

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till Datainspektionen. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Datainspektionen senast tre veckor från den dag beslutet meddelades. Om överklagandet har kommit in i rätt tid

text: sänder Datainspektionen det vidare till Förvaltningsrätten i Stockholm för prövning.

text: Ni kan e-posta överklagandet till Datainspektionen om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.


text: EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING

text: (EU) 2016/679

text: av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning).

text: Forskningsrådet för hälsa, arbetsliv och välfärd.

text: Universitetet har bedömt att ingen anmälan ska skickas in till Datainspektionen. (…) Den 2 september inkom rekommenderat brev från Datainspektionen innehållande information om incidenterna. Umeå universitets bedömning är att det är osannolikt att incidenten medfört hög risk för enskildas fri- och rättigheter. Det finns inget som tyder på att det uppstått någon faktisk skada eller att någon obehörig tagit del av uppgifterna då protokollet i fråga har skickats till den myndighet som upprättat detsamma och till handläggare som haft till uppgift att hantera och till universitetet lämna ut samma typ av uppgifter.

text: Lagen (

text: ) om etikprövning.

text: Artikel 29

text: – Arbetsgruppen för uppgiftsskydd,

text: rev.01; Riktlinjer om anmälan av personuppgiftsincidenter enligt förordning

text: (EU) 2016/679

text: ; antagna den 3 oktober 2017; senast granskade och antagna den 6 februari 2018; antagna av Europeiska dataskyddsstyrelsen, EDPB, under det första plenarsammanträdet den 25 maj 2018; s. 11–12. Arbetsgruppen inrättades enligt

text: artikel 29 i direktiv 95/46/EG

text: och var ett oberoende rådgivande EU-organ i frågor rörande dataskydd och integritet.

text: En personuppgiftsincident som inte snabbt åtgärdas på lämpligt sätt kan för fysiska personer leda till fysisk, materiell eller immateriell skada, såsom förlust av kontrollen över de egna personuppgifterna eller till begränsning av deras rättigheter, diskriminering, identitetsstöld eller bedrägeri, ekonomisk förlust, obehörigt hävande av pseudonymisering, skadat anseende, förlust av konfidentialitet när det gäller personuppgifter som omfattas av tystnadsplikt, eller till annan ekonomisk eller social nackdel för den berörda fysiska personen. Så snart en personuppgiftsansvarig blir medveten om att en personuppgiftsincident har inträffat, bör den personuppgiftsansvarige därför anmäla personuppgiftsincidenten till tillsynsmyndigheten utan onödigt dröjsmål och, om så är möjligt, inom 72 timmar efter att ha blivit medveten om denna, om inte den personuppgiftsansvarige, i enlighet med ansvarsprincipen, kan påvisa att det är osannolikt att personuppgiftsincidenten kommer att medföra en risk för fysiska personers rättigheter och friheter.

text: , rev01, s. 13.

text: , rev01, s. 28. 7 Se artiklarna 44—50 i dataskyddsförordningen.

text: Se skäl 75 och 76 i dataskyddsförordningen.

text: För ytterligare definitioner se Article 29 Data Protection Working Party, 01037/12/EN

text: WP 196

text: , Opinion 05/2012 on Cloud Computing.

text: Kommissionens genomförandebeslut

text: (EU) 2016/1250

text: av den 12 juli 2016 enligt

text: Europaparlamentets och rådets direktiv 95/46/EG

text: om huruvida ett adekvat skydd säkerställs genom skölden för skydd av privatlivet i EU och Förenta staterna. 11

text: Mål C-311/18

text: – Data Protection Commissioner mot Facebook Ireland och Maximillian Schrems.

text: Jfr skäl 101 och 116 i dataskyddsförordningen. 13 Se propositionen Ny dataskyddslag (

text: prop. 2017/18:105 s. 116

text: ). 14 JO:s beslut den 9 september 2014, dnr

sprak: sv

titel: Beslut

nyckelord:
Dataskydd
Dina rättigheter
Utbildning

publisher: Integritetsskyddsmyndigheten

sanktionsavgift: 550 000 kronor

slug: umea-universitet

title: Umeå universitet

org: imy

text: Datainspektionens beslut

type: rubrik

text: Datainspektionen konstaterar att Umeå universitet

type: stycke

text:  har skickat känsliga och integritetskänsliga personuppgifter genom okrypterad e-post och via öppet nät till Polismyndigheten den 5 februari 2019. Universitetet har därför behandlat personuppgifter i strid med artikel 5.1 f samt artikel 32.1 och 32.2 i dataskyddsförordningen genom att inte ha vidtagit lämpliga tekniska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken.  inte har anmält personuppgiftsincidenten till Datainspektionen och inte dokumenterat omständigheterna kring incidenten då universitetet blev uppmärksammat på den. Universitetet har därför agerat i strid med artikel 33.1 och 33.5 i dataskyddsförordningen.  vid behandlingen av känsliga och integritetskänsliga personuppgifter i molntjänsten Box, under tiden den 25 maj 2018 till våren 2019, inte har vidtagit lämpliga tekniska och organisatoriska åtgärder för att förhindra obehörigt röjande av eller obehörig åtkomst till personuppgifterna. Universitetet har därför behandlat personuppgifter i strid med artikel 5.1 f samt artikel 32.1 och 32.2 i dataskyddsförordningen.

text: Administrativ sanktionsavgift

text: Datainspektionen beslutar med stöd av artiklarna 58.2 och 83 i dataskyddsförordningen och

text: 6 kap. 2 § dataskyddslagen (2018:218)

text: att Umeå universitet ska betala en administrativ sanktionsavgift på 550 000 kronor.

text: Redogörelse för tillsynsärendet

text: Bakgrund

text: Datainspektionen inledde tillsyn mot Umeå universitet den 29 augusti 2019. Inspektionen hade fått information om att universitetet skickat känsliga personuppgifter till Polismyndigheten via okrypterad e-post. Till informationen bifogades Polismyndighetens skrivelse; Information om brister av hantering av handlingar.

text: Syftet med tillsynen är att undersöka om personuppgiftsbehandlingarna som beskrivs i Polismyndighetens skrivelse uppfyller kraven på säkerhet som ställs i artiklarna 5.1.f och 32 i dataskyddsförordningen.

text: Datainspektionen har dessutom granskat om Umeå universitet har följt bestämmelsen i artikel 33 i dataskyddsförordningen, som bland annat handlar om den personuppgiftsansvariges anmälningsskyldighet vid en personuppgiftsincident.

text: Vidare har Datainspektionen undersökt om hanteringen av känsliga personuppgifter i molntjänsten Box gjorts i enlighet med dataskyddsbestämmelserna.

text: Datainspektionens tillsyn utgår från den 25 maj 2018 då dataskyddsförordningen började tillämpas. Inspektionen har därför inte granskat den incident som inträffade före detta datum.

text: Tillsynen har utförts genom skriftlig kommunikation.

text: Vad som framkommit i ärendet

text: Polismyndighetens skrivelse

text: Av Polismyndighetens skrivelse framgår bland annat följande.

text: En forskargrupp vid Umeå universitet begärde ut samtliga förundersökningsprotokoll rörande våldtäkt mot män i Sverige från 2014. Den 18 juli 2016 lämnade Polismyndigheten ut handlingarna via bud.

text: I samband med en begäran om komplettering via mejl bifogade forskargruppen, den 19 november 2017, oavsiktligt ett av de förundersökningsprotokoll som tidigare lämnats ut av Polismyndigheten. Polismyndigheten kontaktade då forskargruppen och påpekade det olämpliga i att skicka känsligt material över oskyddade e-postkanaler. Forskargruppen beklagade det inträffade och hänvisade till den mänskliga faktorn.

text: I samband med ytterligare en begäran om komplettering bifogade forskargruppen, den 5 februari 2019, åter igen samma förundersökningsprotokoll. När Polismyndigheten ännu en gång kontaktade forskargruppen om detta medgavs att man även denna gång oavsiktligt bifogat det känsliga materialet i ett mejl.

text: Uppgifter från Umeå universitet

text: Umeå universitet var personuppgiftsansvarig när mejlen skickades till Polismyndigheten.

text: Den huvudansvarige forskaren lämnade sin anställning vid Umeå universitet den 31 augusti 2018 för anställning vid Uppsala universitet. I och med att den huvudansvarige forskaren bytte arbetsgivare och arbetsplats har projektet också bytt hemvist. Detta skedde dock efter de aktuella händelserna. Finansiären Forte fattade beslut om byte av huvudman den 13 mars 2019 och Etikprövningsmyndigheten godkände ändringen som innebar byte av forskningshuvudman till Uppsala universitet den 10 maj 2019.

text: Forskningsprojektet vid Umeå universitet har godkänts av Etikprövningsmyndigheten och förundersökningsprotokollen har mottagits och lagrats utifrån ett allmänt intresse som tillåter personuppgiftsbehandling.

text: Händelseförloppet I augusti 2016 fick forskargruppen de förundersökningsprotokoll som begärts. Handlingarna skickades i pappersform till Umeå universitet.

text: Samtliga polisanmälningar och förundersökningsprotokoll från 2014 skannades in och förvarades på en lösenordsskyddad filyta. En fysisk version låstes in i ett arkivrum. Förundersökningsprotokollen innehåller uppgifter

text: om bland annat misstanke om brott, namn, personnummer och kontaktuppgifter. Dessutom innehåller dessa protokoll uppgifter om sexualliv och hälsa, det vill säga känsliga personuppgifter.

text: Vid en begäran om komplettering som gjordes 2017 var inte avsikten att bifoga protokollet bland de andra handlingar som skickades till Polismyndigheten. Efter det inträffade har forskargruppen bland annat infört en rutin om att skanna känsligt material separat.

text: Forskargruppen har inte kunnat förklara varför gruppen, den 5 februari 2019, åter igen bifogat protokollet i ett mejl till Polismyndigheten.

text: Säkerhet vid utskick av förundersökningsprotokollen Den felaktiga hanteringen har inskränkt sig till två tillfällen. I övrigt har projektets rutiner att låsa in fysiska dokument, att avskilja administrativa dokument från forskningsdata och att lösenordsskydda digitala dokument följts. Endast två forskare från universitetet har haft tillgång till det aktuella materialet.

text: Universitetet har bland annat regelverk och instruktioner för att säkerställa att behandling av personuppgifter vid universitet följer kraven som ställs i artikel 32 i dataskyddsförordningen. Universitetet har sedan 2014 en tydlig regel om att känsliga personuppgifter inte får skickas med e-post, i enlighet med dokumentet E-posttjänst vid Umeå universitet. Anställda får kontinuerlig utbildning och information i ämnet. Universitetet planerar även att rikta en särskild informationsinsats om behandling av personuppgifter i e-post till samtliga anställa vid universitetet.

text: Universitetet har begått ett misstag genom att skicka känsliga personuppgifter via e-post till Polismyndigheten. Personuppgiftsbehandlingarna i fråga kan därför inte sägas uppfylla de krav som ställs om lämpliga säkerhetsåtgärder enligt artikel 32 i dataskyddsförordningen.

text: Personuppgiftsincidenten Umeå universitet fick kännedom om att känsliga personuppgifter skickats med e-post i samband med att myndigheten mottog Datainspektionens tillsynsskrivelse, den 30 augusti 2019.

text: Den 2 september 2019 utförde universitetet en analys av händelserna och kom då fram till att det var osannolikt att personuppgiftsincidenten skulle komma att medföra en risk för de registrerade. Universitetet har dokumenterat händelserna i Datainspektionens blankett för anmälan av personuppgiftsincident. Universitetet har i blanketten angett bland annat följande.

text: Lagring och åtkomst i molntjänsten Box Universitetet har skannat in 108 förundersökningsprotokoll från 2014 som sparats lokalt på en persondator för att sedan laddas upp hos molntjänstleverantören Box.

text: Användaren kan få tillgång till de lagrade uppgifterna i Box genom att logga in via ett webbgränssnitt internt via universitetets nätverk med singelfaktorsautentisering (det vill säga användarnamn och lösenord).

text: Det går även att logga in externt via internet på universitetets webbplats umu.se. Inloggningen sker då via valfri utrustning/nät. Användaren uppger först sin e-postadress och därefter sitt högskole-ID (användarnamn) och lösenord.

text: Användarkonton i Box är integrerade och kopplade mot högskole-ID som i sin tur är integrerade mot SWAMID. Med SWAMID erhålls en säker identifiering eftersom lösenord varken sparas eller skickas in till Box. Autentiseringen sker innan, genom att en ”ticket” skickas in till Box som bekräftar behörigheten.

text: All kommunikation är krypterad med 256 bitars SSL-kryptering (https).

text: All information lagras med 256-bitars kryptering. Det innebär att informationen inte är tillgänglig om någon utan behörighet skulle få åtkomst

text: till den. Även backuper krypteras. Box lagrar krypteringsnycklarna separat från data.

text: I forskningsprojektet ingår två forskare och det är endast de två som har haft behörighet och åtkomst till filytan som tillhandahålls av Box. Eftersom åtkomsten varit begränsad har inga särskilda rutiner upprättats.

text: Universitetet har ett personuppgiftsbiträdesavtal med SUNET (Swedish University computer Network) som bland annat gäller lagring av förundersökningsprotokollen. SUNET har i sin tur anlitat underbiträdet Box. Box lagrar informationen i USA och är ansluten till Privacy Shield samt har tecknat bindande företagsbestämmelser.

text: Förundersökningsprotokollen omfattas av sekretess enligt

text: 35 kap. 1 §

text: och

text: 11 kap. 3 §

text: offentlighets- och sekretesslagen (2009:400)

text: , OSL. Utgångspunkten är således att sekretess gäller för uppgifterna.

text: Information om att känsliga personuppgifter inte bör lagras i Box har publicerats på universitets intranät i september 2016.

text: Universitet har gjort bedömningen att det finns rättsliga och säkerhetsmässiga förutsättningar för att lagra såväl känsliga som sekretesskyddade uppgifter i Box. Universitetet har dock i samband med sin risk- och sårbarhetsanalys av försiktighetsskäl bedömt att så inte bör ske.

text: Universitetet har bedömt att filytan håller en tillfredsställande säkerhetsnivå. Bedömningen har utgått ifrån säkerhetsåtgärder såsom åtkomst, access och behörighetstilldelning samt säkerhet i kommunikation.

text: Motivering av beslut

text: Gällande regler

text: Den personuppgiftsansvariges ansvar

text: Dataskyddsförordningen är den primära rättsliga regleringen vid behandling av personuppgifter.

text: Den personuppgiftsansvarige ansvarar för att kunna visa att de grundläggande principerna i artikel 5 i dataskyddsförordningen följs (artikel 5.2).

text: Den personuppgiftsansvarige ansvarar för att genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i enlighet med dataskyddsförordningen. Åtgärderna ska genomföras med beaktande av behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers fri-och rättigheter. Åtgärderna ska ses över och uppdateras vid behov. Det framgår av artikel 24.1 i dataskyddsförordningen.

text: Rättslig grund

text: Av artikel 6 i dataskyddsförordningen framgår följande.

text: En behandling är endast laglig om ett av de angivna villkoren i artikeln är uppfyllt (punkt 1).

text: En behandling är laglig om den är nödvändig för att utföra en uppgift av allmänt intresse (punkt 1 e). Forskningsändamål anses vara en uppgift av allmänt intresse.

text: Uppgiften av allmänt intresse ska vara fastställd i enlighet med unionsrätten eller nationell rätt (punkt 3). För statliga universitet och högskolor är forskningsuppgiften fastställd i

text: 1 kap.

text: högskolelagen

text: (1992: 1434).

text: Som huvudregel är det förbjudet att behandla känsliga personuppgifter, till exempel personuppgifter om hälsa och sexualliv. Det finns dock ett antal undantag från förbudet i artikel 9.2 i dataskyddsförordningen. Av artikel 9.2 j i dataskyddsförordningen följer att behandlingen ska vara nödvändig för forskningsändamål och ska omfattas av lämpliga skyddsåtgärder för den registrerades rättigheter och friheter i enlighet med artikel 89.1 i dataskyddsförordningen.

text: Dessutom kräver undantaget från detta förbud att nationell rätt innehåller bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades personliga integritet. I etikprövningslagen fastställs en sådan

text: lämplig och särskild åtgärd som krävs vid behandling av känsliga personuppgifter för forskningsändamål. Även bestämmelser om sekretess i OSL är exempel på sådan lämplig och särskild åtgärd.

text: I artikel 89.1 i dataskyddsförordningen anges särskilda villkor för behandling av personuppgifter för forskningsändamål. Där anges att behandlingen ska omfattas av lämpliga skyddsåtgärder i enlighet med förordningen.

text: Kravet på säkerhet vid behandling av personuppgifter

text: En grundläggande princip för behandling av personuppgifter är kravet på säkerhet enligt artikel 5.1 f i dataskyddsförordningen, som anger att personuppgifterna ska behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna, inbegripet skydd mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olyckshändelse, med användning av lämpliga tekniska eller organisatoriska åtgärder.

text: Av artikel 32.1 i dataskyddsförordningen följer att den personuppgiftsansvarige och personuppgiftsbiträdet ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken med behandlingen. Det med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter.

text: Vid bedömningen av lämplig säkerhetsnivå ska särskild hänsyn tas till de risker som behandlingen medför, i synnerhet från oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats. Det framgår av artikel 32.2 i dataskyddsförordningen.

text: I skäl 75 i dataskyddsförordningen anges att olika faktorer ska beaktas vid bedömningen av risken för fysiska personers rättigheter och friheter. Bland annat nämns personuppgifter som omfattas av tystnadsplikt, uppgifter om hälsa eller sexualliv. Vidare ska beaktas om behandlingen gäller personuppgifter om sårbara fysiska personer, framförallt barn, eller om behandlingen inbegriper ett stort antal personuppgifter och gäller ett stort antal registrerade.

text: Även skäl 39 och 83 ger vägledning om den närmare innebörden av dataskyddsförordningens krav på säkerhet vid behandling av personuppgifter.

text: Om den personuppgiftsansvarige anlitar ett personuppgiftsbiträde för att genomföra en behandling ska den personuppgiftsansvarige endast anlita personuppgiftsbiträden som ger tillräckliga garantier för att genomföra lämpliga tekniska och organisatoriska åtgärder. Det ska ske på ett sådant sätt att behandlingen uppfyller kraven i dataskyddsförordningen och att den registrerades rättigheter skyddas. Det framgår av artikel 28.1 och skäl 81 i dataskyddsförordningen. Dessa bestämmelser anger också hur förhållandet mellan den personuppgiftsansvarige och personuppgiftsbiträdet ska regleras.

text: Skyldighet att anmäla och dokumentera personuppgiftsincidenter Enligt artikel 4.12 i dataskyddsförordningen är en personuppgiftsincident en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats. Enligt Artikel 29-gruppens vägledning

text: kan obehörig eller olaglig behandling innefatta utlämnandet av personuppgifter (eller åtkomst till dessa) till mottagare som inte är behöriga att motta (eller få åtkomst till) uppgifterna, eller någon annan form av behandling som strider mot dataskyddsförordningen.

text: Av artikel 33.1 i dataskyddsförordningen framgår att den personuppgiftsansvarige, vid en personuppgiftsincident, ska anmäla incidenten till tillsynsmyndigheten utan onödigt dröjsmål, och om så är möjligt inte senare än 72 timmar efter att ha fått vetskap om den. Om det är osannolikt att personuppgiftsincidenten medför en risk för fysiska personers rättigheter och friheter behöver den inte anmälas. Om en personuppgiftsansvarig inte agerar snabbt och det blir uppenbart att en

text: incident har ägt rum kan detta betraktas som en underlåtelse att agera i enlighet med artikel 33 .

text: Följande anges i skäl 85.

text: Enligt Artikel 29-arbetsgruppen ska en personuppgiftsansvarig anses ha fått vetskap om incidenten när den personuppgiftsansvarige är rimligt säker på att en säkerhetsincident har ägt rum som har medfört att personuppgifter äventyrats. Den personuppgiftsansvarige ska, enligt dataskyddsförordningen, vidta alla lämpliga tekniska skyddsåtgärder och alla lämpliga organisatoriska åtgärder för att omedelbart fastställa om en personuppgiftsincident har ägt rum och skyndsamt informera tillsynsmyndigheten och de registrerade.

text: I skäl 87 i dataskyddsförordningen anges vikten av att kunna fastställa en incident, bedöma risken för enskilda och sedan anmäla incidenten om så krävs.

text: I artikel 33.5 i dataskyddsförordningen regleras skyldigheten att dokumentera personuppgiftsincidenter. Den personuppgiftsansvarige ska dokumentera alla personuppgiftsincidenter, oavsett om incidenten ska anmälas till Datainspektionen eller inte. Dokumentationen ska innehålla information om omständigheterna kring personuppgiftsincidenten, dess effekter och de korrigerande åtgärder som vidtagits. Dokumentationen ska göra det möjligt för tillsynsmyndigheten att kontrollera efterlevnaden av artikel 33 i dataskyddsförordningen.

text: Dokumentationsskyldigheten i artikel 33.5 är även kopplad till ansvarsskyldigheten i artikel 5.2 i dataskyddsförordningen, det vill säga att den personuppgiftsansvarige ska ansvara för och kunna visa att de grundläggande principerna för dataskydd efterlevs. Det finns även en koppling mellan artikel 33.5 och bestämmelsen om ansvaret för personuppgiftsansvarige enligt artikel 24 i dataskyddsförordningen.

text: Det kan tilläggas att det av Artikel 29- gruppens riktlinjer framgår att den personuppgiftsansvarige behöver ha rutiner för att upptäcka och åtgärda incidenter som rör personuppgifter, vilket är innebörden av artikel 33.5. Dessutom framgår att förmågan att snabbt upptäcka, åtgärda och rapportera en incident bör ses som viktiga inslag i de lämpliga tekniska och organisatoriska åtgärder som anges i artikel 32 i dataskyddsförordningen.

text: Överföring av personuppgifter till tredje land

text: I kapitel V i dataskyddsförordningen anges de möjligheter som finns för att föra över personuppgifter till ett tredjeland (ett land utanför EES).

text: Personuppgifter får föras över om EU-kommissionen har beslutat att det finns en adekvat skyddsnivå i mottagarlandet eller om det annars finns lämpliga skyddsåtgärder till exempel genom avtalsklausuler eller bindande företagsbestämmelser.

text: Av skäl 101 och 116 i dataskyddsförordningen framhålls risken när personuppgifter överförs till länder utanför unionen och vikten av att skyddsnivån inte blir lägre vid sådana överföringar. Det gäller i synnerhet i fråga om skyddet för otillåten användning eller otillåtet utlämnande av denna information. Vidare framhålls den personuppgiftsansvariges och personuppgiftsbiträdets ansvar att se till att förordningen följs.

text: Datainspektionens bedömning

text: Personuppgiftsansvar

text: Datainspektionen konstaterar att Umeå universitet är personuppgiftsansvarig för de behandlingar av personuppgifter som

text: aktualiserats i ärendet fram till dess projektet överflyttades till Uppsala universitet under våren 2019.

text: Behandling av personuppgifter i okrypterad e-post och öppet nät Datainspektionen konstaterar att Umeå universitet, inom ramen för forskningsprojektet, har skickat ett förundersökningsprotokoll rörande våldtäkter mot män i ett okrypterat e-postmeddelande via ett öppet nät till Polismyndigheten. Något som också universitetet har medgett.

text: Förundersökningsprotokollet innehåller uppgifter om hälsa och sexualliv som är känsliga personuppgifter. Behandling av känsliga personuppgifter kan innebära betydande risker för den personliga integriteten och därför krävs ett starkt skydd vid behandling av sådana uppgifter. Förundersökningsprotokollet innehåller dessutom uppgifter om misstanke om brott och personnummer som är så kallade integritetskänsliga personuppgifter. Behandlingen av denna typ av personuppgifter är därför av sådan art att uppgifterna måste ha ett starkt skydd. Det innebär att om dessa personuppgifter skickas via e-post måste de skyddas på ett sådant sätt att obehöriga inte kan ta del av dem. Personuppgifterna kan till exempel skyddas genom kryptering.

text: Att skicka information med okrypterad e-post innebär att även andra än den avsedda mottagaren kan ta del av uppgifterna i e-postmeddelandet. Därmed säkerställs inte att bara den avsedda mottagaren tar del av personuppgifterna.

text: Universitetet har dessutom skickat personuppgifterna via ett öppet nät. Ett öppet nät, exempelvis internet, karaktäriseras av att andra kan ta del av uppgifter som kommuniceras i nätet. Det innebär att obehöriga har kunnat få åtkomst till de personuppgifter som universitetet överfört.

text: Som personuppgiftsansvarig ska Umeå universitet se till att de tekniska och organisatoriska åtgärderna säkerställer en säkerhetsnivå som är lämplig i förhållande till de risker för fysiska personers rättigheter och friheter som behandlingen medför (artikel 32.1). Personuppgifterna som behandlas måste till exempel skyddas mot obehörigt röjande eller obehörig åtkomst.

text: Vad som är lämplig säkerhetsnivå varierar i förhållande till riskerna, behandlingens art, omfattning, sammanhang och ändamål. Vid

text: bedömningen måste därför exempelvis beaktas vad det är för typ av personuppgifter som behandlas.

text: Universitetet måste identifiera de möjliga riskerna för de registrerades rättigheter och friheter och bedöma sannolikheten för att riskerna inträffar och konsekvenserna i sådana fall.

text: I detta fall är det frågan om såväl känsliga som integritetskänsliga personuppgifter. Behandling av denna typ av uppgifterna kräver ett starkt skydd utifrån behandlingens art.

text: Sammantaget finner Datainspektionen att Umeå universitet har behandlat personuppgifter i strid med dataskyddsförordningen genom att universitetet inte har vidtagit lämpliga tekniska säkerhetsåtgärder för att skydda personuppgifterna i e-postmeddelandet utifrån uppgifternas känslighet och hur de kommunicerats okrypterat över öppet nät. Behandlingen har därför skett i strid med artikel 5.1 f samt artikel 32.1 och 32.2 i dataskyddsförordningen.

text: Personuppgiftsincidenten borde ha dokumenterats och anmälts

text: Enligt Umeå universitet fick universitetet kännedom om att känsliga personuppgifter skickats via okrypterad e-post i och med att universitetet fick Datainspektionens tillsynsskrivelse den 30 augusti 2019. Enligt universitetet dokumenterades också incidenten, den 2 september 2019, i Datainspektionens blankett för anmälan av personuppgiftsincident.

text: Vad gäller vetskapen om incidenten konstaterar Datainspektionen att det av Polismyndighetens skrivelse daterad den 3 april 2019, framgår att Polismyndigheten vid kontakt med universitetet påpekat det olämpliga i att skicka känsliga personuppgifter via okrypterad e-post. Datainspektionen bedömer därför att universitetet måste ha fått vetskap om den aktuella incidenten före den 30 augusti 2019 och åtminstone senast den 3 april 2019.

text: Avseende dokumentationen finner Datainspektionen således att universitetet inte dokumenterade omständigheterna kring personuppgiftsincidenten direkt efter att ha fått vetskap om den. Detta försvårar möjligheten att kontrollera efterlevnaden av artikel 33 i

text: dataskyddsförordningen. Att universitetet i efterhand har fyllt i Datainspektionens blankett om anmälan om personuppgiftsincident ändrar inte bedömningen att universitetet borde ha dokumenterat incidenten redan när Polismyndigheten kontaktade universitetet. Vidare konstaterar Datainspektionen att universitetet inte har kommit in med en anmälan om personuppgiftsincident till Datainspektionen. Enligt universitetet berodde det på att det var osannolikt att incidenten skulle medföra hög risk för enskildas fri- och rättigheter. Datainspektionen vill understryka att det alltid finns en risk för att obehöriga kan ta del av personuppgifterna om de skickas okrypterat via öppet nät. Som Datainspektionen tidigare konstaterat gäller utskicket såväl känsliga som integritetskänsliga personuppgifter. Risken för de registrerades fri- och rättigheter är därför hög om denna typ av personuppgifter behandlas på ett sådant sätt så att de till exempel kommer obehöriga till del.

text: Sammantaget finner Datainspektionen att Umeå universitet har underlåtit att agera i enlighet med artikel 33.1 och 33.5 i dataskyddsförordningen.

text: Lagring av känsliga personuppgifter i en molntjänst i tredje land Umeå universitet har använt sig av molntjänsten Box för att lagra 108 förundersökningsprotokoll rörande våldtäkt mot män.

text: En molntjänst är en internetbaserad it-tjänst som tillhandahålls av en extern leverantör. Tjänsten kan innefatta lagring men även andra funktioner, där dessa helt eller till vissa delar finns utanför den egna verksamhetens interna it-miljö . I det här fallet ligger lagringen utanför universitetets interna itmiljö. Via personuppgiftsbiträdet SUNET anlitar Umeå universitet underbiträdet Box.

text: Dataskyddsförordningen ställer inte bara krav på att den personuppgiftsansvarige ska säkerställa lämplig säkerhet för personuppgifterna. Förordningen ställer även krav på att den personuppgiftsansvarige ser till att personuppgiftsbiträdet uppfyller en sådan säkerhetsnivå vid behandling av personuppgifter för den personuppgiftsansvariges räkning.

text: Den personuppgiftsansvarige ansvarar också för att den som personuppgiftsbiträdet i sin tur anlitar uppfyller kraven i dataskyddsförordningen.

text: Box levereras av ett amerikanskt företag som lagrar informationen i USA. Enligt universitetet var Box ansluten till Privacy Shield och hade tecknat bindande företagsbestämmelser.

text: Personuppgifter får föras över till tredje land endast om villkoren i kapitel V i dataskyddsförordningen är uppfyllda. Det gäller under förutsättning att den personuppgiftsansvarige och personuppgiftsbiträdet kan säkerställa att den skyddsnivå som förordningen ger fysiska personer inte undergrävs.

text: Enligt ett beslut från EU-kommissionen har det varit tillåtet för personuppgiftsansvariga i EU att överföra personuppgifter till mottagare som har anslutit sig till Privacy Shield.

text: I det så kallade Schrems II-målet från den 16 juli 2020 bedömde emellertid EU-domstolen att Privacy Shield-avtalet mellan EU och USA inte ger tillräckligt skydd för personuppgifter när dessa förs över till USA. Det innebär att det inte längre är tillåtet för personuppgiftsansvariga i EU att med stöd av Privacy Shield föra över personuppgifter till USA.

text: Schrems II- målet kan även komma att påverka överföringar av personuppgifter som sker med hjälp av bindande företagsbestämmelser. Det då ett tredje lands lagstiftning kan komma att påverka skyddet som ges genom dessa bestämmelser. EU-domstolen har fastslagit att det är den personuppgiftsansvarige som ska bedöma om skyddsnivån som krävs enligt EU-lagstiftningen följs i det berörda tredje landet.

text: Datainspektionen konstaterar att Umeå universitet upphörde att behandla de aktuella personuppgifterna i molntjänsten Box våren 2019. Då var det enligt EU-kommissionens beslut tillåtet att överföra personuppgifter till USA med stöd av Privacy Shield. Datainspektionen stannar därför i aktuellt

text: ärende med att konstatera att Box uppges ha varit ansluten till Privacy Shield vid den tidpunkten och att behandlingen vid universitetet upphört före Schrems II-målet.

text: Förutom att den personuppgiftsansvarige ska ha stöd för att föra över personuppgifter till tredjeland, ansvarar den personuppgiftsansvarige också för att personuppsgiftsbiträdet behandlar uppgifterna på ett sätt som säkerställer lämplig säkerhet.

text: Att personuppgifter, liksom personuppgiftsbiträdet, befinner sig i tredje land kan öka risken för att fysiska personer inte kan utöva sina dataskyddsrättigheter, i synnerhet för att skydda sig från otillåten användning eller otillåtet utlämnande av denna information.

text: I detta fall är det frågan om uppgifter som är skyddade av sekretess.

text: För att få behandla känsliga personuppgifter ställer dataskyddsförordningen krav på att den nationella rätten ska innehålla bestämmelser om lämpliga och särskilda åtgärder. Bestämmelserna om sekretess till skydd för den enskilde är sådan reglering som skyddar enskildas integritet vid hanteringen av allmänna handlingar. Det innebär att sekretessen är en integritetsskyddande åtgärd som den personuppgiftsansvarige och personuppgiftsbiträdet har att följa. När personuppgifterna lagras hos en aktör som inte omfattas av sekretess, innebär det ett svagare integritetsskydd för uppgifterna, eftersom en lagreglerad tystnadsplikt som är straffsanktionerad ger ett starkare skydd än en avtalad tystnadsplikt.

text: Eftersom Box är en aktör som inte omfattas av OSL får personuppgifterna ett svagare integritetsskydd.

text: Det finns även tekniska svagheter i den valda lagringen.

text: För att få åtkomst till förundersökningsprotokollen i Box, har universitetet använt sig av en så kallad singelfaktorsautentisering. I detta fall högskole-ID (användarnamn) och lösenord.

text: Autentiseringen används för att den personuppgiftsansvarige ska kunna se till att endast behöriga användare får åtkomst till personuppgifter.

text: Singelfaktorsautentisering är en svag form av autentisering. Risken att någon kan få del av användarnamn och lösenord är stor. Dessutom är det inte säkert att den som har blivit bestulen kommer att upptäcka att så har skett om någon kommer över användarnamn och lösenord genom till exempel så kallad phishing (nätfiske).

text: En starkare autentisering ska försvåra för obehöriga att komma över de nödvändiga inloggningsuppgifter som behövs för att kunna autentisera sig. Starkare autentisering kan uppnås genom att man använder sig av mer än en faktor (något man vet, något man har och något man är). Exempelvis kan ”något man vet” vara ett användarnamn eller lösenord, ”något man har” kan vara ett smartkort eller mobiltelefon och ”något man är” kan vara ett fingeravtryck eller ansiktsdrag.

text: Användaren kan få tillgång till de lagrade uppgifterna i Box genom att logga in via ett webbgränssnitt internt via universitetets nätverk med singelfaktorsautentisering (det vill säga användarnamn och lösenord). Det går även att logga in externt via internet på universitetets webbplats umu.se. Inloggningen sker då via valfri utrustning och valfritt nät och användaren uppger först sin e-postadress och därefter sitt högskole-ID (användarnamn) och lösenord (det vill säga med singelfaktorsautentisering).

text: Eftersom åtkomst till de aktuella uppgifterna kan ske via det öppna nätet är exponeringsytan mot obehöriga mycket stor, vilket medför att risken för att uppgifterna kommer obehöriga till del ökar.

text: Umeå universitet har anfört att kommunikationen och lagringen av uppgifterna i förundersökningsprotokollen har krypterats i Box. Datainspektionen anser dock inte att det innebär att uppgifterna är tillräckligt skyddade mot obehörig åtkomst. Exempelvis kan den som olovligt kommit över användarnamn och lösenord utge sig som behörig och därmed ta del av uppgifterna i klartext.

text: Som tidigare angetts ska den personuppgiftsansvarige säkerställa en lämplig säkerhet i förhållande till risken med behandlingen. Det gäller även när

text: personuppgifterna behandlas av ett personuppgiftsbiträde. Den personuppgiftsansvarige måste därför göra en bedömning av de risker som kan uppstå i samband med behandlingen. När den personuppgiftsansvarige behandlar personuppgifter i en molntjänst behöver den ansvarige genomföra en lämplighetsbedömning som innefattar en riskanalys. På så sätt får den personuppgiftsansvarige ett underlag för att kunna fatta beslut om vilka lämpliga tekniska och organisatoriska åtgärder som behövs eller som bör krävas av personuppgiftsbiträdet. Det ger också den personuppgiftsansvarige en möjlighet att säkerställa en säkerhetsnivå som är lämplig.

text: Vid bedömning av säkerhetsnivån vid lagring och överföring av personuppgifter ska särskild hänsyn tas till om behandlingen medför risk för obehörigt röjande eller obehörig åtkomst.

text: Umeå universitet har uppgett att universitetet i samband med sin risk- och sårbarhetsanalys bedömde att känsliga personuppgifter inte bör lagras i Box av försiktighetsskäl. Denna information publicerades på universitetets intranät i september 2016. Trots det skannade universitetet in förundersökningsprotokollen och lagrade dem i Box.

text: Förundersökningsprotokollen rör våldtäkter mot män och personuppgifterna i dem är såväl känsliga, som integritetskänsliga. Uppgifterna omfattas dessutom av sekretess. Datainspektionens bedömning är att behandlingen av denna typ av personuppgifter innebär en hög risk för de enskildas integritet om personuppgifterna röjs eller om någon obehörig får åtkomst till dem. Behandlingen är därför av sådan art att den kräver en hög säkerhet.

text: Datainspektionen konstaterar att det har varit frågan om en behandling av personuppgifter i en molntjänst i USA som inte omfattas av bestämmelserna i OSL, och att säkerheten inte har varit tillräckligt hög för att förhindra obehörig åtkomst till uppgifterna. Dessutom konstaterar Datainspektionen att universitetet 2016 bedömde att behandlingen av känsliga personuppgifter i Box inte var lämpligt.

text: Datainspektionen finner sammanfattningsvis att Umeå universitet inte har vidtagit lämpliga tekniska och organisatoriska åtgärder för att förhindra obehörigt röjande av eller obehörig åtkomst till de känsliga och integritetskänsliga personuppgifterna som lagrats i Box. Universitetet har därigenom inte säkerställt en säkerhetsnivå som är lämplig i förhållande till

text: risken med att behandla de personuppgifter som det är frågan om i ärendet. Umeå universitet har därmed behandlat personuppgifterna i strid med artikel 5.1 f samt artikel 32.1 och 32.2 i dataskyddsförordningen.

text: Val av ingripande

text: Rättslig reglering

text: Datainspektionen har vid överträdelser av dataskyddsförordningen ett antal korrigerande befogenheter, bland annat reprimand, föreläggande och sanktionsavgifter. Det följer av artikel 58.2 a–j i dataskyddsförordningen.

text: Datainspektionen ska påföra sanktionsavgifter utöver eller i stället för andra korrigerande åtgärder som avses i artikel 58.2, beroende på omständigheterna i varje enskilt fall.

text: Medlemsstaterna får fastställa regler för om och i vilken utsträckning administrativa sanktionsavgifter kan påföras offentliga myndigheter. Det framgår av artikel 83.7 i förordningen. Sverige har i enlighet med detta beslutat att Datainspektionen ska få ta ut sanktionsavgifter av myndigheter. För överträdelser av bland annat artiklarna 32 och 33 ska avgiften uppgå till högst 5 000 000 kronor. För överträdelser av bland annat artikel 5 i förordningen ska avgiften uppgå till högst 10 000 000 kronor. Det framgår av

text: 6 kap. 2 § dataskyddslagen

text: samt artikel 83.4 och 83.5 i dataskyddsförordningen.

text: Om en personuppgiftsansvarig eller ett personuppgiftsbiträde, med avseende på en och samma eller sammankopplade uppgiftsbehandlingar, uppsåtligen eller av oaktsamhet överträder flera av bestämmelserna i denna förordning får den administrativa sanktionsavgiftens totala belopp inte överstiga det belopp som fastställs för den allvarligaste överträdelsen. Det framgår av artikel 83.3 i dataskyddsförordningen.

text: Varje tillsynsmyndighet ska säkerställa att påförandet av administrativa sanktionsavgifter i varje enskilt fall är effektivt, proportionellt och avskräckande. Det anges i artikel 83.1 i dataskyddsförordningen.

text: I artikel 83.2 anges de faktorer som ska beaktas för att bestämma om en administrativ sanktionsavgift ska påföras, men också vad som ska påverka sanktionsavgiftens storlek.

text: Sanktionsavgiftens storlek

text: Universitetet har skickat ett förundersökningsprotokoll med personuppgifter om bland annat hälsa, sexualliv och misstanke om brott via okrypterad epost och genom öppet nät. Personuppgifterna som behandlats är både känsliga och integritetskänsliga samt omfattas av bestämmelser om sekretess. Polismyndigheten skickade uppgifterna till universitetet via bud, vilket borde gjort universitetet uppmärksamt på uppgifternas skyddsvärde. Trots detta underlät universitetet att vidta lämpliga tekniska säkerhetsåtgärder. Personuppgifterna skyddades därmed inte från risken att utsättas för bland annat obehörigt röjande och obehörig åtkomst. Datainspektionen finner att ingen annan bedömning kan göras än att överträdelsen skett genom oaktsamhet.

text: Dessutom har Umeå universitet lagrat ett stort antal, 108 stycken, förundersökningsprotokoll med känsliga och integritetskänsliga personuppgifter i molntjänsten Box. Detta utan att universitetet säkerställt en lämplig säkerhetsnivå för att kunna lagra denna typ av personuppgifter i Box. Universitetet underlät således även i denna del att vidta lämpliga tekniska säkerhetsåtgärder. Universitetet säkerställde inte heller att personuppgifterna omfattades av sådana lämpliga organisatoriska åtgärder som krävs enligt dataskyddsbestämmelserna.

text: I strid mot sin egen risk- och sårbarhetsanalys lagrade universitetet de känsliga personuppgifterna i Box. Datainspektionen anser att detta är en faktor som måste beaktas vid bedömning av sanktionsavgiftens storlek.

text: Vidare har universitetet underlåtit att anmäla personuppgiftsincidenten som uppstod vid utskicket i e-postmeddelandet till Datainspektionen. Inte heller dokumenterades omständigheterna kring incidenten då universitetet blev uppmärksammat på den.

text: Mot denna bakgrund finner Datainspektionen att Umeå universitet genom de aktuella personuppgiftsbehandlingarna har överträtt artikel 5.1 f, artikel 32.1 och 32.2 samt artikel 33.1 och 33.5 i dataskyddsförordningen. Datainspektionen anser därför att Umeå universitet ska påföras administrativa sanktionsavgifter för nämnda överträdelser.

text: Datainspektionen konstaterar att behandlingarna via e-post och lagringen i Box avser två sammankopplade uppgiftsbehandlingar enligt artikel 83.3 i dataskyddsförordningen. Detta då behandlingarna rör samma personuppgifter inom ett forskningsprojekt och avser överträdelse av samma bestämmelser det vill säga artikel 5.1 f samt 32.1 och 32.2 i förordningen.

text: Vid bestämmande av sanktionsavgiftens storlek beaktar Datainspektionen ovan angivna omständigheter och att den administrativa sanktionsavgiften ska vara effektiv, proportionell och avskräckande. Att Umeå universitet inte har uppfyllt säkerhetskraven är allvarligt då det är frågan om personuppgifter av sådan typ att uppgifterna kräver ett starkt skydd utifrån behandlingens art.

text: Datainspektionen bestämmer utifrån en samlad bedömning att Umeå universitet ska betala en administrativ sanktionsavgift på totalt 550 000 kronor. För utskicket i e-postmeddelandet och lagringen i molntjänsten Box ska universitetet betala en avgift på 450 000 kronor. För universitetets underlåtenhet att anmäla personuppgiftsincidenten till Datainspektionen och för att inte ha dokumenterat incidenten ska universitetet betala en avgift på 100 000 kronor.

text: Detta beslut har fattats av generaldirektören Lena Lindgren Schelin efter föredragning av juristen Linda Hamidi. Vid handläggning av ärendet har juristen Caroline Cruz Julander medverkat. Vid den slutliga handläggningen har enhetscheferna Katarina Tullstedt och Malin Blixt samt itsäkerhetsspecialisterna Johan Ma och Ulrika Sundling medverkat.

text: Lena Lindgren Schelin, 2020-12-10 (Det här är en elektronisk signatur)

text: Bilaga

text: Information om betalning av sanktionsavgift.

text: Kopia för kännedom till

text: Dataskyddsombudet.

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till Datainspektionen. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Datainspektionen senast tre veckor från den dag beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder Datainspektionen det vidare till Förvaltningsrätten i Stockholm för prövning.