text: EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING

text: (EU) 2016/679

text: av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning). 2 En behörig myndighet är enligt i 1 kap. 6 § BDL en myndighet som behandlar personuppgifter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet.

text: Prop.2017/18:232 s. 438

text: Se Datainspektionens rapportserie om Anmälda personuppgiftsincidenter 2018 (Datainspektionens rapport 2019:1) s 7 f; Anmälda personuppgiftsincidenter januariseptember 2019 (Datainspektionens rapport 2019:3) s.10 f. och Anmälda personuppgiftsincidenter 2019 (Datainspektionens rapport 2020:2) s. 12 f.

text: Prop. 2017/18:232 s. 453

text: Prop. 2017/18:232 s. 457

text: Prop. 2017/18:232 s. 189

text: f.

text: Prop. 2017/18:232 s. 198

text: 9 Ansvaret för överträdelser är strikt. Det krävs alltså varken uppsåt eller oaktsamhet för att sanktionsavgift ska kunna tas ut, se

text: prop. 2017/18:232 s. 481

text: Brottsdatalag – Delbetänkande av Utredningen om 2016 års dataskyddsdirektiv Stockholm 2017,

text: SOU 2017:29 s. 302

text: 11 Behöriga myndigheter ska se till att det finns rutiner för logguppföljning, se

text: prop. 2017/18:232 s. 455

text: f. 12 3 kap. 6 § BDL och kompletterande bestämmelser i 3 kap. 6 § BDF

text: Rapport 2019:1, rapport 2019:3 och rapport 2020:2. Liknande slutsatser har MSB dragit i sin årsrapport för allvarliga IT-incidenter, dvs. att de flesta av incidenterna beror på mänskliga misstag, se https://www.msb.se/sv/aktuellt/nyheter/2020/april/arsrapporten-forallvarliga-it-incidenter-2019-ar-slappt/

titel: Kriminalvården

title: Sju brottskämpande myndigheter – Kriminalvården

text: Datainspektionens beslut

text: Datainspektionen meddelar följande rekommendationer med stöd av

text: 5 kap. 6 § brottsdatalagen (2018:1177)

text: 1. Kriminalvården bör regelbundet utvärdera effektiviteten hos de vidtagna säkerhetsåtgärderna för att upptäcka personuppgiftsincidenter och vid behov revidera dessa för att upprätthålla tillräckligt skydd av personuppgifter.

text: 2. Kriminalvården bör regelbundet kontrollera att rutinerna för hantering av personuppgiftsincidenter följs.

text: 3. Kriminalvården bör i myndighetens rutiner för rapportering av personuppgiftincidenter precisera vilka uppgifter av en inträffad incident som ska dokumenteras samt regelbundet kontrollera att rutinerna för dokumentation av personuppgiftsincidenter följs.

text: 4. Kriminalvården bör ge sina anställda löpande information och återkommande utbildning i hanteringen av personuppgiftsincidenter och om rapporteringsskyldigheten.

text: Datainspektionen avslutar ärendet.

text: Redogörelse för tillsynsärendet

text: Skyldigheten för den personuppgiftsansvarige – dvs. privata och offentliga aktörer – att anmäla vissa personuppgiftsincidenter till Datainspektionen infördes den 25 maj 2018 genom dataskyddsförordningen (GDPR). Motsvarande anmälningsskyldighet infördes den 1 augusti 2018 i

text: brottsdatalagen

text: (BDL) för s.k. behöriga myndigheter. Skyldigheten att anmäla personuppgiftsincidenter (nedan kallad incident) syftar till att stärka integritetsskyddet genom att Datainspektionen får information om händelsen och kan välja att vidta åtgärder när inspektionen bedömer att det behövs för att den personuppgiftsansvarige ska hantera incidenten på ett tillfredställande sätt och vidta åtgärder för att förhindra att något liknande inträffar igen.

text: En personuppgiftsincident är enligt 1 kap. 6 § BDL en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring, eller obehörigt röjande av eller obehörig åtkomst till personuppgifter. I förarbetena till lagen anges att det som regel är fråga om en oplanerad händelse som påverkar säkerheten för personuppgifterna på ett negativt sätt och som medför allvarliga konsekvenser för skyddet av uppgifterna. En personuppgiftsincident kan till exempel vara att personuppgifter har skickats till fel mottagare, att tillgången till personuppgifterna har förlorats, att datautrustning som lagrar personuppgifter har tappats bort eller stulits, att någon inom eller utanför organisationen tar del av information som den saknar behörighet till.

text: En personuppgiftsincident som inte snabbt åtgärdas på lämpligt sätt kan medföra risker för den registrerades rättigheter eller friheter. En incident kan leda till fysisk, materiell eller immateriell skada genom exempelvis

text: diskriminering, identitetsstöld, identitetsbedrägeri, skadat anseende, finansiell förlust samt brott mot sekretess eller tystnadsplikt.

text: Det kan finnas många orsaker till att en personuppgiftincident uppstår. Av Datainspektionens rapportserie Anmälda personuppgiftsincidenter under perioden maj 2018 - december 2019 framgår att de vanligaste orsakerna bakom de anmälda incidenterna var bl.a. den mänskliga faktorn, tekniska fel, antagonistiska angrepp samt brister i organisatoriska rutiner eller processer.

text: Datainspektionen har inlett detta tillsynsärende mot Kriminalvården i syfte att kontrollera om myndigheten har rutiner på plats för att upptäcka personuppgiftsincidenter och om myndigheten har och har haft rutiner för att hantera personuppgiftsincidenter enligt

text: brottsdatalagen

text: . I granskningen ingår även att kontrollera om Kriminalvården har rutiner för dokumentation av incidenter som svarar mot kraven i brottsdataförordningen (BDF) samt om myndigheten har genomfört informations- och utbildningsinsatser kring personuppgiftsincidenter.

text: Tillsynen inleddes med en skrivelse till Kriminalvården den 4 december 2019 och följdes upp med begäran om komplettering den 4 mars 2020. Myndighetens svar på tillsynsskrivelsen kom in den 4 februari 2020 och kompletteringen inkom den 9 april 2020.

text: Tillämpliga bestämmelser

text: Den personuppgiftsansvarige ska enligt 3 kap. 2 § BDL, genom lämpliga tekniska och organisatoriska åtgärder, säkerställa och kunna visa att behandlingen av personuppgifter är författningsenlig och att den registrerades rättigheter skyddas. Det innebär att behöriga myndigheter, med hjälp av dessa åtgärder, inte bara ska säkerställa att dataskyddsregelverket följs utan också ska kunna visa att så är fallet. Vilka tekniska och organisatoriska åtgärder som krävs för att skydda personuppgifterna regleras i 3 kap. 8 § BDL.

text: I förarbetena till lagen anges att organisatoriska åtgärder som avses i 2 § är bl.a. att ha interna strategier för dataskydd, att informera och utbilda personalen och att säkerställa en tydlig ansvarsfördelning. Åtgärder som vidtas för att visa att behandlingen är författningsenlig kan t.ex. vara dokumentation av IT-system, behandlingar och vidtagna åtgärder och teknisk spårbarhet genom loggning och logguppföljning. Vilka åtgärder som ska vidtas får avgöras efter en bedömning i varje enskilt fall. Åtgärderna ska ses över och uppdateras vid behov. De åtgärder som den personuppgiftsansvarige ska vidta enligt denna bestämmelse ska enligt 3 kap. 1 § BDF vara rimliga med beaktande av behandlingens art, omfattning, sammanhang och ändamål och de särskilda riskerna med behandlingen.

text: Av 3 kap. 8 § BDL framgår att den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas, särskilt mot obehörig eller otillåten behandling och mot förlust, förstöring eller annan oavsiktlig skada. I förarbetena till

text: brottsdatalagen

text: anges att säkerheten ska omfatta åtkomstskydd för utrustning, kontroll av datamedier, lagringskontroll, användarkontroll, åtkomstkontroll, kommunikationskontroll, indatakontroll, transportkontroll, återställande, driftsäkerhet och dataintegritet. Denna uppräkning är dock inte uttömmande. Som exempel på organisatoriska säkerhetsåtgärder kan nämnas fastställandet av en säkerhetspolicy, kontroller och uppföljning av säkerheten, utbildning i datasäkerhet och information om vikten av att följa gällande säkerhetsrutiner. Rutiner för anmälan och uppföljning av personuppgiftsincidenter utgör också sådana åtgärder.

text: Vilka omständigheter som bör beaktas för att uppnå en lämplig skyddsnivå är reglerat i 3 kap. 11 § BDF. Åtgärderna ska åstadkomma en säkerhetsnivå som är lämplig med beaktande av de tekniska möjligheterna, kostnaderna för åtgärderna, behandlingens art, omfattning, sammanhang och ändamål, samt de särskilda riskerna med behandlingen. Särskild hänsyn bör tas till i vilken utsträckning känsliga personuppgifter behandlas och hur integritetskänsliga övriga personuppgifter som behandlas är. Överträdelse av bestämmelser i

text: 3 kap. 2 och 8 §§ BDL kan leda till sanktionsavgifter enligt 6 kap. 1 § 2 BDL.

text: Den personuppgiftsansvarige ska enligt 3 kap. 14 § BDF dokumentera alla personuppgiftsincidenter. Dokumentationen ska redovisa omständigheterna kring incidenten, dess effekter och de åtgärder som vidtagits med anledning av den. Den personuppgiftsansvarige ska dokumentera alla inträffade incidenter oavsett om den måste anmälas till Datainspektionen eller inte. Dokumentationen ska göra det möjligt för tillsynsmyndigheten att kontrollera efterlevnaden av den aktuella bestämmelsen. Underlåtenhet att dokumentera personuppgiftsincidenter kan föranleda sanktionsavgifter enligt 6 kap. 1 § BDL.

text: En personuppgiftsincident ska också, enligt 3 kap. 9 § BDL, anmälas till Datainspektionen senast 72 timmar efter det att den personuppgiftsansvarige fått kännedom om incidenten. En anmälan behöver inte göras om det är osannolikt att incidenten har medfört eller kommer att medföra någon risk för otillbörligt intrång i den registrerades personliga integritet. Av 3 kap. 10 § BDL framgår att den personuppgiftsansvarige i vissa fall ska informera den registrerade som berörs av incidenten. Underlåtenhet att anmäla en personuppgiftsincident till Datainspektionen kan leda till administrativa sanktionsavgifter enligt 6 kap. 1 § BDL.

text: Motivering av beslutet

text: Datainspektionens granskning

text: Datainspektionen har i detta tillsynsärende att ta ställning till om Kriminalvården har dokumenterade rutiner för att upptäcka personuppgiftsincidenter enligt

text: brottsdatalagen

text: och om myndigheten har och har haft rutiner för att hantera incidenter sedan BDL trädde ikraft. Granskningen omfattar även frågan om efterlevnaden av kravet på dokumentation av incidenter i

text: 3 kap. 14 §

text: BDF. Därutöver ska Datainspektionen ta ställning till om Kriminalvården har genomfört

text: informations- och utbildningsinsatser för sina anställda med fokus på hantering av personuppgiftsincidenter enligt BDL.

text: Granskningen omfattar inte innehållet i rutinerna eller utbildningsinsatserna utan är fokuserad på att kontrollera att den granskande myndigheten har rutiner på plats och att den har genomfört utbildningsinsatser för medarbetarna avseende personuppgiftsincidenter. Granskningen omfattar dock om myndighetens rutiner innehåller anvisningar att dokumentera de uppgifter som krävs enligt brottsdataförordningen.

text: Rutiner för att upptäcka personuppgiftsincidenter

text: De personuppgifter som behöriga myndigheter hanterar inom ramen för sin brottsbekämpande och brottsutredande verksamhet är i stor utsträckning av känslig och integritetskänslig natur. Verksamhetens karaktär ställer höga krav på de brottsbekämpande myndigheternas förmåga att skydda de registrerades uppgifter genom nödvändiga skyddsåtgärder för att bl.a. förhindra att en incident uppstår.

text: Skyldigheten att rapportera personuppgiftsincidenter enligt 3 kap. 9 § BDL ska tolkas i ljuset av de generella kraven att vidta lämpliga tekniska och organisatoriska åtgärder, för att säkerställa lämplig säkerhet för personuppgifter, som föreskrivs i 3 kap. 2 och 8 §§. En förmåga att snabbt upptäcka och rapportera en incident är en nyckelfaktor. För att de brottsbekämpande myndigheterna ska kunna leva upp till rapporteringskravet måste de ha interna rutiner och tekniska möjligheter för att upptäcka en incident.

text: Utifrån verksamhetens behov och med stöd av risk- och sårbarhetsanalyser kan behöriga myndigheter identifiera de områden där det finns en större risk att en incident kan uppstå. Utifrån analyserna kan myndigheterna sedan använda olika instrument för att upptäcka ett säkerhetshot. Dessa kan vara både tekniska och organisatoriska åtgärder. Utgångspunkten är att de vidtagna säkerhetsåtgärderna ska ge tillräckligt skydd och att incidenter inte ska inträffa.

text: Exempel på tekniska åtgärder är bl.a. intrångsdetektorer som automatiskt analyserar och upptäcker dataintrång och användning av logganalysinstrument för att kunna detektera obehörig åtkomst (loggavvikelser). En ökad insikt om verksamhetens ”normala” nätverks

text: trafikmönster hjälper till att identifiera sådant som avviker från den normala trafikbilden gentemot exempelvis servrar, applikationer eller datafiler. Organisatoriska åtgärder kan exempelvis vara antagande av interna strategier för dataskydd som avser interna regler, riktlinjer, rutiner och olika typer av styrdokument och policydokument. Riktlinjer och regler för hantering av personuppgifter, rutiner för incidenthantering och logguppföljning utgör exempel på sådana strategier. Periodisk uppföljning av tilldelade behörigheter är ett annat exempel på organisatoriska åtgärder. I en behörig myndighet ska det finnas rutiner för tilldelning, förändring, borttagning och regelbunden kontroll av behörigheter. Information till och utbildning av personal om de regler och rutiner för incidenthantering som ska följas är också exempel på sådana åtgärder.

text: Datainspektionens bedömning

text: Kriminalvården har i huvudsak uppgett följande. Sedan 2005 arbetar myndigheten strukturerat med incidenthantering. Det finns även sedan flera år en riktlinje som reglerar rapporteringsskyldigheten av inträffade incidenter. Riktlinjen omfattar även incidenter som upptäcks och som berör personuppgifter. Avseende tekniska skydd är Kriminalvårdens itinfraktstruktur kopplad till IT-säkerhet. Exempel på skydd är bl.a. brandväggar, nätverkssegmentering, intrångsdetektering och logguppföljning. Kriminalvården uppger vidare att de tekniska och organisatoriska rutiner som myndigheten har för att upptäcka personuppgiftsincidenter kan delas in i förebyggande och i uppföljande rutiner. Förebyggande åtgärder beskrivs i Kriminalvårdens regelverk för ITsäkerhet och innefattar regelverk för att undvika informationssäkerhets- och IT-säkerhetsincidenter där personuppgiftsincidenter är en typ av incident. Därtill redogör Kriminalvården i sitt yttrande för vilka förebyggande åtgärder som myndigheten vidtagit och beskrivit t.ex. hur logguppföljning går till. Av utredningen framgår att Kriminalvården har genomfört utbildnings- och informationsinsatser för sina medarbetare om personuppgiftsbehandling vilket omfattar information om personuppgiftsincidenter och om rapporteringsskyldighet.

text: Datainspektionen kan konstatera att Kriminalvården har rutiner för att upptäcka personuppgiftsincidenter på plats. Skyldigheten att vidta säkerhetsåtgärder för att upptäcka personuppgiftsincidenter är inte knuten till en viss tidpunkt utan åtgärderna ska kontinuerligt ses över och vid behov förändras. För att Kriminalvården ska kunna upprätthålla tillräcklig skyddsnivå av personuppgifter över tid rekommenderar Datainspektionen, med stöd av 5 kap. 6 § BDL, att myndigheten regelbundet utvärderar effektiviteten hos de vidtagna säkerhetsåtgärderna för att upptäcka personuppgiftsincidenter och att myndigheten vid behov uppdaterar dessa.

text: Rutiner för hantering av personuppgiftsincidenter

text: För att kunna leva upp till kraven på organisatoriska åtgärder i 3 kap. 8 § BDL ska den personuppgiftsansvarige ha dokumenterade interna rutiner som beskriver vilken process som ska följas när en incident har upptäckts eller inträffat, inbegripet hur incidenten ska begränsas, hanteras och återställas, samt hur riskbedömningen ska gå till och hur incidenten ska anmälas internt och till Datainspektionen. Av rutinerna ska framgå bl.a. vad en personuppgiftsincident är/kan vara, när en incident behöver anmälas, och till vem, vad som ska dokumenteras, ansvarsfördelningen samt vilken information som bör tillhandahållas inom ramen för anmälan till Datainspektionen.

text: Datainspektionens kontroll av rutiner för att hantera personuppgiftsincidenter avser tiden från

text: brottsdatalagens

text: ikraftträdande dvs. den 1 augusti 2018.

text: Datainspektionens bedömning

text: Kriminalvården har bl.a. uppgett följande. Myndigheten har sedan flera år en riktlinje som reglerar rapporteringsskyldighet av inträffade incidenter. Enligt riktlinjen ska alla typer av incidenter rapporteras inom 24 timmar i myndighetens gemensamma incidentrapporteringssystem Isap. Det framgår vidare att alla medarbetare har behörighet och en skyldighet att rapportera incidenter. Personuppgiftsincidenter, liksom andra incidenter, rapporteras också i Isap. Kriminalvården har lämnat in myndighetens riktlinjer för rapportering och utredning av incidenter (

text: ) daterad 2018-09-11 samt en intern rutin för rapportering av personuppgifter till Datainspektionen daterad 2018-04-09. Kriminalvården har angett att den förstnämnda riktlinjen är en generell rutin för myndighetens rapportering och utredning av incidenter.

text: Detta omfattar alla olika typer av incidenter som kan inträffa inom myndigheten och gäller också för personuppgiftsincidenter. Beträffande den interna rutinen anges att den gäller specifikt för den funktion inom myndigheten som analyserar, bedömer och även rapporterar personuppgiftsincidenter till Datainspektionen.

text: Med beaktande av de inlämnande handlingarna och vad som framkommit i ärendet konstaterar Datainspektionen att Kriminalvården från tidpunkten då

text: brottsdatalagen

text: trädde ikraft har haft och har rutiner för att hantera personuppgiftsincidenter på plats.

text: Att kunna hantera upptäckta personuppgiftsincidenter på ett korrekt sätt och motverka dess effekter och risker för de registrerades personliga integritet är viktigt. Datainspektionen rekommenderar därför, med stöd av 5 kap. 6 § BDL, att Kriminalvården regelbundet kontrollerar att rutinerna för hantering av personuppgiftsincidenter följs.

text: Datainspektionens bedömning

text: Kriminalvården har huvudsakligen uppgett följande. Alla incidenter dokumenteras initialt i incidentrapporteringssystemet Isap, vilket även omfattar personuppgiftsincidenter. Gällande de incidenter som bedöms utgöra personuppgiftsincidenter används Datainspektionens blanketter för att analysera, bedöma och i förekommande fall rapportera. Detta gäller även de personuppgiftsincidenter som efter bedömning inte har rapporterats till Datainspektionen. Av Kriminalvårdens interna rutin för rapportering av personuppgiftsincidenter till Datainspektionen framgår att för de fall en personuppgiftsincident inte är rapporteringspliktig dokumenteras den också genom Datainspektionens rapportmall och lagras internt.

text: Datainspektionen konstaterar att Kriminalvården har ett internt IT-system för att bl.a. rapportera incidenter som rör personuppgifter. Därutöver framgår av myndighetens interna rutin att alla personuppgiftsincidenter ska dokumenteras och att myndigheten använder sig av Datainspektionens blanketter för anmälan av personuppgiftsincidenter för att dokumentera inträffade personuppgiftsincidenter även om de inte är rapporteringspliktiga. Datainspektionen konstaterar dock att de interna rutinerna saknar en beskrivning av vad vilka uppgifter som dokumentationen ska omfatta.

text: Att kunna dokumentera inträffade personuppgiftsincidenter på ett korrekt sätt och därmed motverka risken av att dokumentationen blir bristfällig eller ofullständig är viktigt. Bristfällig dokumentation kan leda till att incidenterna inte hanteras och åtgärdas på ett korrekt sätt, vilket kan få påverkan på integritetsskyddet. Datainspektionen rekommenderar därför, med stöd av 5 kap. 6 § BDL, att Kriminalvårdens interna rutiner för rapportering av personuppgiftincidenter kompletteras med en beskrivning av vilka uppgifter av en inträffad incident som ska dokumenteras. Därutöver bör Kriminalvården genomföra regelbundna kontroller av den interna dokumentationen av personuppgiftsincidenter.

text: Den personuppgiftsansvarige ska informera och utbilda sin personal i frågor om dataskydd inbegripet hantering av personuppgiftsincidenter. Av Datainspektionens rapportserie Anmälda Personuppgiftsincidenter under perioden 2018-2019 framgår att den mänskliga faktorn utgör den vanligaste orsaken till anmälda personuppgiftsincidenter. Dessa består i huvudsak av individer som, medvetet eller omedvetet, inte följer interna rutiner vid

text: behandling av personuppgifter eller begått ett misstag vid hantering av personuppgifter. Omkring hälften av de incidenter som beror på den mänskliga faktorn handlar om felskickade brev och e-postmeddelanden. Detta understryker enligt Datainspektionens mening betydelsen av att interna rutiner och tekniska säkerhetsåtgärder behöver kompletteras med löpande utbildning, information och andra åtgärder för att öka kunskap och medvetenhet hos medarbetarna.

text: Datainspektionens bedömning

text: På frågan om på vilket sätt information och utbildning om incidenter ges till anställda har Kriminalvården uppgett bl.a. följande. Myndigheten har informerat personalen om rapportering av personuppgiftsincidenter bl.a. via intranätet, en obligatorisk e-kurs för samtliga anställda, informationsfilm, utbildning för chefer och för viss administrativ personal, e-postutskick samt genom regionala Isap-samordnare.

text: Mot bakgrund av vad som framgår av utredningen anser Datainspektionen att Kriminalvården har visat att myndigheten har gett information och utbildning om hantering av personuppgiftsincidenter till sina medarbetare.

text: För att upprätthålla kompetensen och säkerställa att ny personal får utbildning är det viktigt med återkommande information och utbildning till de anställda och inhyrd personal. Datainspektionen rekommenderar, med stöd av 5 kap. 6 § BDL, att Kriminalvården ger de anställda löpande information och återkommande utbildningar i hanteringen av personuppgiftsincidenter och skyldigheten att rapportera dessa.

text: Detta beslut har fattats av enhetschefen Charlotte Waller Dahlberg efter föredragning av juristen Maria Angelica Westerberg. Vid den slutliga handläggningen av ärendet har även IT-säkerhetsspecialisten Ulrika Sundling och juristen Jonas Agnvall medverkat.

text: Charlotte Waller Dahlberg, 2020-12-17 (Det här är en elektronisk signatur)

text: Kopia för kännedom till:

text: Kriminalvårdens dataskyddsombud

text: Hur man överklagar


text: EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING

text: (EU) 2016/679

text: av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning). 2 En behörig myndighet är enligt i 1 kap. 6 § BDL en myndighet som behandlar personuppgifter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet.

text: Prop.2017/18:232 s. 438

text: Se Datainspektionens rapportserie om Anmälda personuppgiftsincidenter 2018 (Datainspektionens rapport 2019:1) s 7 f; Anmälda personuppgiftsincidenter januariseptember 2019 (Datainspektionens rapport 2019:3) s.10 f. och Anmälda personuppgiftsincidenter 2019 (Datainspektionens rapport 2020:2) s. 12 f.

text: Prop. 2017/18:232 s. 453

text: Prop. 2017/18:232 s. 457

text: Prop. 2017/18:232 s. 189

text: f.

text: Prop. 2017/18:232 s. 198

text: 9 Ansvaret för överträdelser är strikt. Det krävs alltså varken uppsåt eller oaktsamhet för att sanktionsavgift ska kunna tas ut, se

text: prop. 2017/18:232 s. 481

text: Brottsdatalag – Delbetänkande av Utredningen om 2016 års dataskyddsdirektiv Stockholm 2017,

text: SOU 2017:29 s. 302

text: 11 Behöriga myndigheter ska se till att det finns rutiner för logguppföljning, se

text: prop. 2017/18:232 s. 455

text: f. 12 3 kap. 6 § BDL och kompletterande bestämmelser i 3 kap. 6 § BDF

text: Rapport 2019:1, rapport 2019:3 och rapport 2020:2. Liknande slutsatser har MSB dragit i sin årsrapport för allvarliga IT-incidenter, dvs. att de flesta av incidenterna beror på mänskliga misstag, se https://www.msb.se/sv/aktuellt/nyheter/2020/april/arsrapporten-forallvarliga-it-incidenter-2019-ar-slappt/

sprak: sv

titel: Åklagarmyndigheten

nyckelord: Dataskydd Brottsbekämpning

publisher: Integritetsskyddsmyndigheten

slug: sju-brottskampande-myndigheter

title: Sju brottskämpande myndigheter – Åklagarmyndigheten

org: imy

sammanfattning: Vi har granskat behandlingen av personuppgifter och fattat beslut.

text: Datainspektionens beslut

type: rubrik

text: Datainspektionen meddelar följande rekommendationer med stöd av

text: 5 kap. 6 § brottsdatalagen (2018:1177)

type: stycke

text: 1. Åklagarmyndigheten bör regelbundet utvärdera effektiviteten hos de vidtagna säkerhetsåtgärderna för att upptäcka personuppgiftsincidenter och vid behov revidera dessa för att upprätthålla tillräckligt skydd av personuppgifter.

text: 2. Åklagarmyndigheten bör regelbundet kontrollera att rutinerna för hantering av personuppgiftsincidenter följs.

text: 3. Åklagarmyndigheten bör i myndighetens rutiner för rapportering av personuppgiftincidenter precisera vilka uppgifter av en inträffad incident som ska dokumenteras samt regelbundet kontrollera att rutinerna för dokumentation av personuppgiftsincidenter följs.

text: 4. Åklagarmyndigheten bör ge sina anställda löpande information och återkommande utbildning i hanteringen av personuppgiftsincidenter och om rapporteringsskyldigheten.

text: Datainspektionen avslutar ärendet.

text: Redogörelse för tillsynsärendet

text: Skyldigheten för den personuppgiftsansvarige – dvs. privata och offentliga aktörer – att anmäla vissa personuppgiftsincidenter till Datainspektionen infördes den 25 maj 2018 genom dataskyddsförordningen (GDPR). Motsvarande anmälningsskyldighet infördes den 1 augusti 2018 i

text: brottsdatalagen

text: (BDL) för s.k. behöriga myndigheter. Skyldigheten att anmäla personuppgiftsincidenter (nedan kallad incident) syftar till att stärka integritetsskyddet genom att Datainspektionen får information om händelsen och kan välja att vidta åtgärder när inspektionen bedömer att det behövs för att den personuppgiftsansvarige ska hantera incidenten på ett tillfredställande sätt och vidta åtgärder för att förhindra att något liknande inträffar igen.

text: En personuppgiftsincident är enligt 1 kap. 6 § BDL en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring, eller obehörigt röjande av eller obehörig åtkomst till personuppgifter. I förarbetena till lagen anges att det som regel är fråga om en oplanerad händelse som påverkar säkerheten för personuppgifterna på ett negativt sätt och som medför allvarliga konsekvenser för skyddet av uppgifterna. En personuppgiftsincident kan till exempel vara att personuppgifter har skickats till fel mottagare, att tillgången till personuppgifterna har förlorats, att datautrustning som lagrar personuppgifter har tappats bort eller stulits, att någon inom eller utanför organisationen tar del av information som den saknar behörighet till.

text: En personuppgiftsincident som inte snabbt åtgärdas på lämpligt sätt kan medföra risker för den registrerades rättigheter eller friheter. En incident kan leda till fysisk, materiell eller immateriell skada genom exempelvis

text: diskriminering, identitetsstöld, identitetsbedrägeri, skadat anseende, finansiell förlust samt brott mot sekretess eller tystnadsplikt.

text: Det kan finnas många orsaker till att en personuppgiftincident uppstår. Av Datainspektionens rapportserie Anmälda personuppgiftsincidenter under perioden maj 2018 - december 2019 framgår att de vanligaste orsakerna bakom de anmälda incidenterna var bl.a. den mänskliga faktorn, tekniska fel, antagonistiska angrepp samt brister i organisatoriska rutiner eller processer.

text: Datainspektionen har inlett detta tillsynsärende mot Åklagarmyndigheten i syfte att kontrollera om myndigheten har rutiner på plats för att upptäcka personuppgiftsincidenter och om myndigheten har och har haft rutiner för att hantera personuppgiftsincidenter enligt

text: brottsdatalagen

text: . I granskningen ingår även att kontrollera om Åklagarmyndigheten har rutiner för dokumentation av incidenter som svarar mot kraven i brottsdataförordningen (BDF) samt om myndigheten har genomfört informations- och utbildningsinsatser kring personuppgiftsincidenter.

text: Tillsynen inleddes med en skrivelse till Åklagarmyndigheten den 4 december 2019 och följdes upp med begäran om komplettering den 4 mars 2020. Myndighetens svar på tillsynsskrivelsen kom in den 17 januari 2020 och kompletteringen inkom den 25 mars 2020.

text: Tillämpliga bestämmelser

text: Den personuppgiftsansvarige ska enligt 3 kap. 2 § BDL, genom lämpliga tekniska och organisatoriska åtgärder, säkerställa och kunna visa att behandlingen av personuppgifter är författningsenlig och att den registrerades rättigheter skyddas. Det innebär att behöriga myndigheter, med hjälp av dessa åtgärder, inte bara ska säkerställa att dataskyddsregelverket följs utan också ska kunna visa att så är fallet. Vilka tekniska och organisatoriska åtgärder som krävs för att skydda personuppgifterna regleras i 3 kap. 8 § BDL.

text: I förarbetena till lagen anges att organisatoriska åtgärder som avses i 2 § är bl.a. att ha interna strategier för dataskydd, att informera och utbilda personalen och att säkerställa en tydlig ansvarsfördelning. Åtgärder som vidtas för att visa att behandlingen är författningsenlig kan t.ex. vara dokumentation av IT-system, behandlingar och vidtagna åtgärder och teknisk spårbarhet genom loggning och logguppföljning. Vilka åtgärder som ska vidtas får avgöras efter en bedömning i varje enskilt fall. Åtgärderna ska ses över och uppdateras vid behov. De åtgärder som den personuppgiftsansvarige ska vidta enligt denna bestämmelse ska enligt 3 kap. 1 § BDF vara rimliga med beaktande av behandlingens art, omfattning, sammanhang och ändamål och de särskilda riskerna med behandlingen.

text: Av 3 kap. 8 § BDL framgår att den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas, särskilt mot obehörig eller otillåten behandling och mot förlust, förstöring eller annan oavsiktlig skada. I förarbetena till

text: brottsdatalagen

text: anges att säkerheten ska omfatta åtkomstskydd för utrustning, kontroll av datamedier, lagringskontroll, användarkontroll, åtkomstkontroll, kommunikationskontroll, indatakontroll, transportkontroll, återställande, driftsäkerhet och dataintegritet. Denna uppräkning är dock inte uttömmande. Som exempel på organisatoriska säkerhetsåtgärder kan nämnas fastställandet av en säkerhetspolicy, kontroller och uppföljning av säkerheten, utbildning i datasäkerhet och information om vikten av att följa gällande säkerhetsrutiner. Rutiner för anmälan och uppföljning av personuppgiftsincidenter utgör också sådana åtgärder.

text: Vilka omständigheter som bör beaktas för att uppnå en lämplig skyddsnivå är reglerat i 3 kap. 11 § BDF. Åtgärderna ska åstadkomma en säkerhetsnivå som är lämplig med beaktande av de tekniska möjligheterna, kostnaderna för åtgärderna, behandlingens art, omfattning, sammanhang och ändamål, samt de särskilda riskerna med behandlingen. Särskild hänsyn bör tas till i vilken utsträckning känsliga personuppgifter behandlas och hur integritetskänsliga övriga personuppgifter som behandlas är. Överträdelse av bestämmelser i

text: 3 kap. 2 och 8 §§ BDL kan leda till sanktionsavgifter enligt 6 kap. 1 § 2 BDL.

text: Den personuppgiftsansvarige ska enligt 3 kap. 14 § BDF dokumentera alla personuppgiftsincidenter. Dokumentationen ska redovisa omständigheterna kring incidenten, dess effekter och de åtgärder som vidtagits med anledning av den. Den personuppgiftsansvarige ska dokumentera alla inträffade incidenter oavsett om den måste anmälas till Datainspektionen eller inte. Dokumentationen ska göra det möjligt för tillsynsmyndigheten att kontrollera efterlevnaden av den aktuella bestämmelsen. Underlåtenhet att dokumentera personuppgiftsincidenter kan föranleda sanktionsavgifter enligt 6 kap. 1 § BDL.

text: En personuppgiftsincident ska också, enligt 3 kap. 9 § BDL, anmälas till Datainspektionen senast 72 timmar efter det att den personuppgiftsansvarige fått kännedom om incidenten. En anmälan behöver inte göras om det är osannolikt att incidenten har medfört eller kommer att medföra någon risk för otillbörligt intrång i den registrerades personliga integritet. Av 3 kap. 10 § BDL framgår att den personuppgiftsansvarige i vissa fall ska informera den registrerade som berörs av incidenten. Underlåtenhet att anmäla en personuppgiftsincident till Datainspektionen kan leda till administrativa sanktionsavgifter enligt 6 kap. 1 § BDL.

text: Motivering av beslutet

text: Datainspektionens granskning

text: Datainspektionen har i detta tillsynsärende att ta ställning till om Åklagarmyndigheten har dokumenterade rutiner för att upptäcka personuppgiftsincidenter enligt

text: brottsdatalagen

text: och om myndigheten har och har haft rutiner för att hantera incidenter sedan BDL trädde ikraft. Granskningen omfattar även frågan om efterlevnaden av kravet på dokumentation av incidenter i

text: 3 kap. 14 §

text: BDF. Därutöver ska Datainspektionen ta ställning till om Åklagarmyndigheten har genomfört

text: informations- och utbildningsinsatser för sina anställda med fokus på hantering av personuppgiftsincidenter enligt BDL.

text: Granskningen omfattar inte innehållet i rutinerna eller utbildningsinsatserna utan är fokuserad på att kontrollera att den granskande myndigheten har rutiner på plats och att den har genomfört utbildningsinsatser för medarbetarna avseende personuppgiftsincidenter. Granskningen omfattar dock om myndighetens rutiner innehåller anvisningar att dokumentera de uppgifter som krävs enligt brottsdataförordningen.

text: Rutiner för att upptäcka personuppgiftsincidenter

text: De personuppgifter som behöriga myndigheter hanterar inom ramen för sin brottsbekämpande och brottsutredande verksamhet är i stor utsträckning av känslig och integritetskänslig natur. Verksamhetens karaktär ställer höga krav på de brottsbekämpande myndigheternas förmåga att skydda de registrerades uppgifter genom nödvändiga skyddsåtgärder för att bl.a. förhindra att en incident uppstår.

text: Skyldigheten att rapportera personuppgiftsincidenter enligt 3 kap. 9 § BDL ska tolkas i ljuset av de generella kraven att vidta lämpliga tekniska och organisatoriska åtgärder, för att säkerställa lämplig säkerhet för personuppgifter, som föreskrivs i 3 kap. 2 och 8 §§. En förmåga att snabbt upptäcka och rapportera en incident är en nyckelfaktor. För att de brottsbekämpande myndigheterna ska kunna leva upp till rapporteringskravet måste de ha interna rutiner och tekniska möjligheter för att upptäcka en incident.

text: Utifrån verksamhetens behov och med stöd av risk- och sårbarhetsanalyser kan behöriga myndigheter identifiera de områden där det finns en större risk att en incident kan uppstå. Utifrån analyserna kan myndigheterna sedan använda olika instrument för att upptäcka ett säkerhetshot. Dessa kan vara både tekniska och organisatoriska åtgärder. Utgångspunkten är att de vidtagna säkerhetsåtgärderna ska ge tillräckligt skydd och att incidenter inte ska inträffa.

text: Exempel på tekniska åtgärder är bl.a. intrångsdetektorer som automatiskt analyserar och upptäcker dataintrång och användning av logganalysinstrument för att kunna detektera obehörig åtkomst (loggavvikelser). En ökad insikt om verksamhetens ”normala” nätverks

text: trafikmönster hjälper till att identifiera sådant som avviker från den normala trafikbilden gentemot exempelvis servrar, applikationer eller datafiler. Organisatoriska åtgärder kan exempelvis vara antagande av interna strategier för dataskydd som avser interna regler, riktlinjer, rutiner och olika typer av styrdokument och policydokument. Riktlinjer och regler för hantering av personuppgifter, rutiner för incidenthantering och logguppföljning utgör exempel på sådana strategier. Periodisk uppföljning av tilldelade behörigheter är ett annat exempel på organisatoriska åtgärder. I en behörig myndighet ska det finnas rutiner för tilldelning, förändring, borttagning och regelbunden kontroll av behörigheter. Information till och utbildning av personal om de regler och rutiner för incidenthantering som ska följas är också exempel på sådana åtgärder.

text: Datainspektionens bedömning

text: Åklagarmyndigheten har i huvudsak uppgett följande. Myndigheten har ett antal tekniska lösningar och organisatoriska rutiner för att, på såväl teknisk nivå som på användarnivå, upptäcka avvikelser i IT-miljön. Utifrån den informationen kan de upptäcka det som skulle kunna utgöra eller innebära risk för en personuppgiftsincident. Angående organisatoriska åtgärder framgår av utredningen att Åklagarmyndigheten har skriftliga rutiner för hantering av personuppgiftsincidenter samt att information om detta finns på myndighetens intranät. Myndigheten har även genomfört utbildningar för sin personal.

text: Datainspektionen kan konstatera att Åklagarmyndigheten har rutiner för att upptäcka personuppgiftsincidenter på plats.

text: Skyldigheten att vidta säkerhetsåtgärder för att upptäcka personuppgiftsincidenter är inte knuten till en viss tidpunkt utan åtgärderna ska kontinuerligt ses över och vid behov förändras. För att Åklagarmyndigheten ska kunna upprätthålla tillräcklig skyddsnivå av personuppgifter över tid rekommenderar Datainspektionen, med stöd av 5 kap. 6 § BDL, att myndigheten regelbundet utvärderar effektiviteten hos de

text: vidtagna säkerhetsåtgärderna för att upptäcka personuppgiftsincidenter och att myndigheten vid behov uppdaterar dessa.

text: Rutiner för hantering av personuppgiftsincidenter

text: För att kunna leva upp till kraven på organisatoriska åtgärder i 3 kap. 8 § BDL ska den personuppgiftsansvarige ha dokumenterade interna rutiner som beskriver vilken process som ska följas när en incident har upptäckts eller inträffat, inbegripet hur incidenten ska begränsas, hanteras och återställas, samt hur riskbedömningen ska gå till och hur incidenten ska anmälas internt och till Datainspektionen. Av rutinerna ska framgå bl.a. vad en personuppgiftsincident är/kan vara, när en incident behöver anmälas, och till vem, vad som ska dokumenteras, ansvarsfördelningen samt vilken information som bör tillhandahållas inom ramen för anmälan till Datainspektionen.

text: Datainspektionens kontroll av rutiner för att hantera personuppgiftsincidenter avser tiden från

text: brottsdatalagens

text: ikraftträdande dvs. den 1 augusti 2018.

text: Datainspektionens bedömning

text: Åklagarmyndigheten har bl.a. uppgett följande. Myndigheten har en dokumenterad rutin för rapportering av personuppgiftsincidenter. Som ett första led i denna rutin ingår att internt rapportera händelser som skulle kunna vara en personuppgiftsincident till myndighetens centrala supportfunktion. Supportfunktionen vidareförmedlar informationen till personer i myndighetens it-ledningsgrupp som därefter bedömer om händelsen är en personuppgiftsincident och om den ska rapporteras till Datainspektionen. Åklagarmyndigheten har lämnat in myndighetens rutin för rapportering av personuppgiftsincidenter daterad 2018-07-09 (reviderat 2018-11-27) samt ett utdrag av information som finns på myndighetens intranät. Myndigheten uppger vidare att det vid bedömning och åtgärd följs de instruktioner som är publicerade på Datainspektionens webbplats.

text: Med beaktande av de inlämnande handlingarna och vad som framkommit i ärendet konstaterar Datainspektionen att Åklagarmyndigheten från tidpunkten då

text: brottsdatalagen

text: Att kunna hantera upptäckta personuppgiftsincidenter på ett korrekt sätt och motverka dess effekter och risker för de registrerades personliga integritet är viktigt. Datainspektionen rekommenderar därför, med stöd av 5 kap. 6 § BDL, att Åklagarmyndigheten regelbundet kontrollerar att rutinerna för hantering av personuppgiftsincidenter följs.

text: Rutiner för dokumentation av personuppgiftsincidenter

text: En förutsättning för att Datainspektionen ska kunna kontrollera efterlevnaden av dokumentationskravet av incidenter i 3 kap. 14 § BDF är att dokumentationen omfattar vissa uppgifter som alltid bör ingå. Dokumentationen ska omfatta alla detaljer kring incidenten, inbegripet dess orsaker, vad som skedde och de personuppgifter som berördes. Den ska även innehålla incidentens konsekvenser och de korrigerande åtgärder som den personuppgiftsansvarige vidtagit.

text: Datainspektionens bedömning

text: Åklagarmyndigheten har huvudsakligen uppgett följande. Myndighetens beslut dokumenteras och diarieförs i Åklagarmyndighetens allmänna diarium och myndigheten hänvisar till deras rutiner för hantering av personuppgiftsincidenter. Av rutinen framgår att om man misstänker att en personuppgiftsincident har inträffat ska detta utan dröjsmål rapporteras till deras centrala supportfunktion. Detta gäller oavsett om incidenten har inträffat i administrativ eller brottsbekämpande verksamhet. På detta sätt dokumenteras också de rapporterade incidenterna. Därefter gör myndighetens IT-avdelning en bedömning av om incidenten ska rapporteras vidare till Datainspektionen. Om bedömningen innebär att incidenten inte ska rapporteras ska skälet till det skriftligen motiveras och dokumenteras. Åklagarmyndigheten uppger vidare att det bedömningsstöd som används för inträffade incidenter är det som finns på inspektionens webbplats, bl.a. Datainspektionens blankett för anmälan av personuppgiftsincidenter enligt BDL.

text: Datainspektionen konstaterar att Åklagarmyndigheten har ett IT-system för att bl.a. rapportera incidenter som rör personuppgifter. Därutöver framgår av myndighetens rutin för rapportering av personuppgiftsincidenter att alla incidenter ska dokumenteras oavsett om de anmäls till inspektionen eller inte. Datainspektionen konstaterar dock att den aktuella rutinen saknar en beskrivning av vilka uppgifter som dokumentationen ska omfatta.

text: Att kunna dokumentera inträffade personuppgiftsincidenter på ett korrekt sätt och därmed motverka risken för att dokumentationen blir bristfällig eller ofullständig är viktigt. Bristfällig dokumentation kan leda till att incidenterna inte hanteras och åtgärdas på ett korrekt sätt, vilket kan få påverkan på integritetsskyddet. Datainspektionen rekommenderar därför, med stöd av 5 kap. 6 § BDL, att Åklagarmyndighetens rutiner för rapportering av personuppgiftincidenter kompletteras med en beskrivning av vilka uppgifter av en inträffad incident som ska dokumenteras. Därutöver bör Åklagarmyndigheten genomföra regelbundna kontroller av den interna dokumentationen av personuppgiftsincidenter.

text: Information och utbildning kring personuppgiftsincidenter

text: Personalen är en viktig resurs i säkerhetsarbetet. Det räcker inte bara med interna rutiner, regler eller styrdokument om användarna inte följer dem. Alla användare måste förstå att hantering av personuppgifter ska ske på ett rättssäkert sätt samt att det är allvarligare att inte rapportera en incident än att rapportera t.ex. ett misstag eller ett fel. Det krävs därför att alla användare får en adekvat utbildning och tydlig information om dataskydd.

text: Den personuppgiftsansvarige ska informera och utbilda sin personal i frågor om dataskydd inbegripet hantering av personuppgiftsincidenter. Av Datainspektionens rapportserie Anmälda Personuppgiftsincidenter under perioden 2018-2019 framgår att den mänskliga faktorn utgör den vanligaste orsaken till anmälda personuppgiftsincidenter. Dessa består i huvudsak av individer som, medvetet eller omedvetet, inte följer interna rutiner vid behandling av personuppgifter eller begått ett misstag vid hantering av personuppgifter. Omkring hälften av de incidenter som beror på den mänskliga faktorn handlar om felskickade brev och e-postmeddelanden. Detta understryker enligt Datainspektionens mening betydelsen av att interna rutiner och tekniska säkerhetsåtgärder behöver kompletteras med löpande utbildning, information och andra åtgärder för att öka kunskap och medvetenhet hos medarbetarna.

text: Datainspektionens bedömning

text: På frågan om på vilket sätt information och utbildning om incidenter ges till anställda har Åklagarmyndigheten uppgett bl.a. följande. En samlad information om personuppgiftsbehandling finns på Åklagarmyndighetens intranät. Myndigheten har även informerat om rutinerna för att hantera personuppgiftsincidenter till chefsadministratörer och IT-samordnare i den operativa verksamheten. Vidare uppges att särskilda webbinarier har genomförts för olika yrkeskategorier inom myndigheten.

text: Mot bakgrund av vad som framgår av utredningen anser Datainspektionen att Åklagarmyndigheten har visat att myndigheten har gett information och utbildning om hantering av personuppgiftsincidenter till sina medarbetare.

text: För att upprätthålla kompetensen och säkerställa att ny personal får utbildning är det viktigt med återkommande information och utbildning till de anställda och inhyrd personal. Datainspektionen rekommenderar, med stöd av 5 kap. 6 § BDL, att Åklagarmyndigheten ger de anställda löpande information och återkommande utbildningar i hanteringen av personuppgiftsincidenter och skyldigheten att rapportera dessa.

text: Kopia för kännedom till:

text: Åklagarmyndighetens dataskyddsombud

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till Datainspektionen. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Datainspektionen senast tre veckor från den dag beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder Datainspektionen det vidare till Förvaltningsrätten i Stockholm för prövning.

text: Ni kan e-posta överklagandet till Datainspektionen om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.

type: avgorande


text: EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING

text: (EU) 767/2008

text: av den 9 juli 2008 om informationssystemet för viseringar (VIS) och utbytet mellan medlemsstaterna av uppgifter om viseringar för kortare vistelse (VIS-förordningen)

text: (EU) 2016/679

text: av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning)

titel: Beslut

nyckelord: Dataskydd Tillsyn Myndighet

slug: migrationsverket-gallande-vis

title: Migrationsverket, gällande VIS

sammanfattning: IMY utfärdar två varningar då Migrationsverkets behandling sannolikt kan komma att bryta mot bestämmelserna i dataskyddsförordningen, GDPR.

text: 1. Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten utfärdar varningar, med stöd av 58.2 a dataskyddsförordningen, då Migrationsverkets behandling sannolikt kommer att bryta mot bestämmelserna i dataskyddsförordningen enligt följande.

text: 1. Den fortsatta utvecklingen och förvaltningen av VIS kan, i strid med artikel 32 dataskyddsförordningen, komma att äventyras på grund av otydligheter kring IT-dokumentationens status, vilket kan leda till att Migrationsverket inte vidtar lämpliga tekniska och organisatoriska åtgärder som säkerställer en säkerhetsnivå som är lämplig. 2. Uppgifter i användarloggar kan, i strid med artikel 5.1 e dataskyddsförordningen om lagringsminimering, komma att sparas under en längre tid än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas, eftersom Migrationsverket saknar en rutin för gallring av användarloggar.

text: 2. Redogörelse för tillsynsärendet

text: 2.1 Granskningens syfte och avgränsning

text: Integritetsskyddsmyndigheten (IMY) har i enlighet med fastställd inspektionsplan granskat Migrationsverkets behandling av personuppgifter i den nationella delen av informationssystemet för viseringar (VIS). Syftet med granskningen har varit att kontrollera om behandlingen av personuppgifter är i överensstämmelse med gällande 1 2 rätt, dvs. VIS-förordningen och dataskyddsförordningen (GDPR) .

text: IMY har en skyldighet enligt artikel 41.2 i VIS-förordningen att granska behandlingen i den nationella delen av VIS minst en gång vart fjärde år. Granskningen ska genomföras i enlighet med internationella redovisningsstandarder.

text: Vid granskningen har IMY ställt frågor avseende personuppgiftsbehandlingen i VIS, personuppgiftsansvar, personuppgiftsbiträden, behöriga myndigheter, informationsutbyte med andra medlemsländer, gallring, överföring av personuppgifter till tredje land, registrerades rättigheter, utbildning av personal samt it-säkerhet.

text: 2.2 Genomförande och metod

text: IMY har vid tre tillfällen, den 16 januari 2020, den 21 februari 2020 och den 5 oktober 2021, på plats hos Migrationsverket granskat personuppgiftsbehandlingen i den nationella delen av VIS. Migrationsverket har vid det första tillfället förevisat VIS och de nationella IT-systemen Wilma, W2, VIS-mail och den centrala utlänningsdatabasen (CUD).

text: Efter det första inspektionstillfället har IMY skickat ett antal skriftliga frågor till Migrationsverket, som verket har besvarat före det andra inspektionstillfället.

text: Vid det andra inspektionstillfället har IMY ställt kompletterande frågor samt genomfört stickprovskontroller av avslutade viseringsärenden i Wilma samt pågående viseringsärenden i W2.

text: På grund av pandemin har det tredje inspektionstillfället, med fokus på användarloggar, fått skjutas upp till hösten 2021. Inför detta tillfälle har IMY skickat ett antal kompletterande frågor som Migrationsverket har fått besvara.

text: Vid det tredje inspektionstillfället har IMY granskat användarloggarna samt ställt kompletterande frågor. Migrationsverket har också fått möjlighet att informera om vad som kan ha förändrats sedan inspektion 2.

text: 2.3 Om VIS

text: VIS är ett EU-gemensamt system för utbyte av uppgifter om viseringar för kortare vistelser mellan EU:s medlemsländer. Syftet med VIS är att underlätta förfarandet vid visumansökningar, förhindra ett kringgående av reglerna om vilket medlemsland som ansvarar för att pröva en visumansökan, underlätta kampen mot bedrägerier, underlätta kontroller vid gränsövergångar vid de yttre gränserna av Schengen och inom medlemsstaternas territorium och att bidra till att förebygga hot mot medlemsstaternas inre säkerhet.

text: VIS innehåller personuppgifter som samlats in och registrerats i samband med ansökan om visum. Vilka personuppgifter som får behandlas anges i VIS-förordningen och inkluderar bl.a. fingeravtryck och fotografier.

text: Migrationsverket är utsedd att vara personuppgiftsansvarig enligt artikel 41.4 i VISförordningen för Sveriges behandling av personuppgifter i VIS. Personuppgiftsansvaret omfattar även utlandsmyndigheternas automatiska behandling vid hantering av visumansökningar. Även andra, särskilt utsedda, myndigheter använder VIS bl.a. i den brottsbekämpande verksamheten.

text: Huvudkomponenten i IT-systemet är den centrala databasen (C-VIS), som innehåller uppgifter om visumansökningar och beslut från medlemsländerna. Den centrala databasen hanteras av Europeiska byrån för den operativa förvaltningen av stora ITsystem inom området frihet, säkerhet och rättvisa (eu-Lisa). Det finns också ett integrerat kommunikationssystem, ViSMail, som används för kommunikation mellan Schengenstaterna i aktuella och avslutade viseringsärenden.

text: Varje medlemsland har nationella system (N-VIS) som kommunicerar med den centrala databasen. I Sverige använder sig Migrationsverket av det processtyrda ärendehanteringssystemet W2 för att hantera pågående visumansökningar och Wilma

text: för att hantera avslutade ärenden. Nationell information sparas i den centrala utlänningsdatabasen (CUD).

text: 3. Motivering av beslutet

text: 3.1 Vad granskningen omfattat

text: IMY:s granskning har omfattat vilka personuppgifter som behandlas i den nationella delen av VIS, vem som är personuppgiftsansvarig för behandlingen, om det finns personuppgiftsbiträden och förutsättningarna för hur de behandlar personuppgifter, vilka som är behöriga myndigheter och vilka uppgifter de har åtkomst till, hur informationsutbytet med andra medlemsländer går till, hur länge personuppgifter sparas i den nationella delen, hur datakvaliteten säkerställs och registervården fungerar, om uppgifterna överförs till tredje land, hur de registrerades rättigheter säkerställs, vilken utbildning i hanteringen av personuppgifter som tillhandahålls personalen samt hur it-säkerheten fungerar. Av avsnitt 3.9.1 framgår närmare vad som ingått i granskningen av it-säkerheten.

text: Under motiveringen av beslutet tar IMY upp utvalda delar av det som granskats. I övrigt har IMY inga synpunkter på behandlingen.

text: 3.2 VIS-förordningen i förhållande till dataskyddsförordningen

text: Dataskyddsförordningen infördes den 25 maj 2018 och är den primära rättsliga regleringen vid behandling av personuppgifter.

text: Dataskyddsförordningens bestämmelser gäller i den mån det inte finns en särreglering i VIS-förordningen. Det framgår av skäl 17 i VIS-förordningen och artikel 94.2 i dataskyddsförordningen.

text: 3.3 Grundläggande förutsättningar för att behandla personuppgifter i VIS

text: 3.3.1 Migrationsverkets syften med behandlingen av personuppgifter i VIS

text: I artikel 2 i VIS-förordningen anges de syften för vilka personuppgifter får behandlas. För Migrationsverkets del handlar det framförallt om att hantera och besluta i viseringsärenden. Det har inte framkommit något inom ramen för granskningen och de stickprovskontroller som IMY utfört som tyder på att Migrationsverket skulle behandla uppgifter i de nationella systemen för andra syften än vad som framgår av VISförordningen.

text: 3.3.2 Uppgifter som får behandlas enligt VIS-förordningen

text: I VIS-förordningen finns det ett flertal artiklar (artiklarna 9-14) som uttryckligen anger vilka uppgifter som får behandlas i samband med en viseringsansökan.

text: IMY har granskat vilka uppgifter som har registrerats i Wilma och i W2. I mycket stor utsträckning är kategorierna av uppgifter fördefinierade dvs. det finns ett väldigt lite utrymme för en person med åtkomst till systemen att behandla andra kategorier av uppgifter i de nationella systemen. IMY:s stickprovskontroller har inte heller visat att Migrationsverket skulle behandla andra uppgifter än vad myndigheten har stöd att behandla enligt VIS-förordningen.

text: 3.4 Personuppgiftsansvar

text: Enligt artikel 41.4 i VIS-förordningen ska varje medlemsstat utse en myndighet som ska vara personuppgiftsansvarig och ha ett centralt ansvar för denna medlemsstats behandling av uppgifter. Migrationsverket är den nationellt utpekade myndigheten, vilket framgår av 11 § punkten 3 förordning (

text: ) med instruktion för Migrationsverket.

text: Av

text: 9 § utlänningsdatalagen (2016:27)

text: framgår också att Migrationsverket är personuppgiftsansvarig för myndighetens behandling av personuppgifter. Dessutom är Migrationsverket enligt nämnda bestämmelse även personuppgiftsansvarig för utlandsmyndigheterna automatiserade behandling av personuppgifter, vilket omfattar behandling av personuppgifter i VIS.

text: Migrationsverket har i ärendet bl.a. informerat om att heltidsanställda vid utlandsmyndigheter, som handlägger migrationsärenden, sedan den 1 januari 2020 är anställda av Migrationsverket medan deltidsanställda och lokalanställda även fortsättningsvis är anställda av Utrikesdepartementet (UD). Anställda vid UD i Stockholm handlägger inte migrationsärenden överhuvudtaget och har heller ingen access till VIS-systemet. I syfte att klargöra ansvarsförhållandet mellan Migrationsverket och UD har det tecknats en förvaltningsöverenskommelse mellan parterna.

text: IMY ser positivt på att Migrationsverket och UD har tecknat en förvaltningsöverenskommelse. Det är viktigt att gränserna för Migrationsverkets personuppgiftsansvar är klarlagt i förhållande till UD. IMY har inga synpunkter på vad som framkommit i ärendet avseende personuppgiftsansvaret.

text: 3.5 Behandling av särskilda kategorier av personuppgifter

text: IMY har särskilt ställt frågor kring Migrationsverkets behandling av fingeravtryck och fotografier. Av artikel 9 i VIS-förordningen framgår att viseringsmyndigheten ska registrera såväl fotografi av den sökanden såsom fingeravtryck. Migrationsverket har beskrivit hur fingeravtryck och fotografier registreras och hanteras och hur kvaliteten på uppgifterna säkerställs.

text: Migrationsverket har informerat om att det från EU-nivå inte det inte ställs något uttryckligt krav på kvalitén på ett fingeravtryck och förklarat att det sannolikt beror på att det är bättre med ofullständiga eller i viss mån ”sämre” avtryck i det centrala VIS än inga alls. Det finns dock krav på upplösning och vissa andra krav i (

text: ), vilken refereras till i ”Bilaga handledning för handläggning av viseringsansökningar och ändring av utfärdande viseringar” (handledning I om viseringskodexen). I stället har man uppmanat medlemsstaterna att säkra att man verkligen försöker att uppnå bästa möjliga kvalitet genom mätning vid upptagningstillfället och om möjligt applicera samma algoritm för mätning av kvalitet vid upptagning som används centralt vid lagring. Kvaliteten mäts vid lagring och medlemsstaterna delges statistik över uppnådd kvalitet på en summerad nivå.

text: Migrationsverket har informerat om att myndigheten valt att använda samma kvalitetsprogramvara för fingeravtryck som används i det centrala VIS i de biometristationer myndigheten använder. Med hjälp av denna programvara mäts upptagningen av enskilda fingrar och också summan av alla fingrar på en hand enligt en viktning. Operatören blir uppmanad att ta om avtrycken om kvaliteten är låg och

text: kan också välja att använda det bästa fingret om flera upptagningar gjorts, allt i syfte att skicka bästa möjliga avtryck till det centrala VIS. Uppföljning av kvalitet på upptagningar görs för att säkerställa att de avtryck som sänds till VIS håller en hög kvalitet, en faktor är operatörens utbildning/motivation/skicklighet. Andra viktiga faktorer är åldern för tredjelandsmedborgaren, yrke, etnicitet och individuella skillnader av annan art. Enligt Migrationsverket har myndigheten säkerställt att utrustningen är av god kvalitet, att processen för upptagning är god samt att mätning av fingeravtryckens kvalitet görs och följs upp.

text: IMY gör bedömningen att Migrationsverket vidtagit adekvata åtgärder för att säkerställa en god kvalitet på de fingeravtryck som registreras av Sverige i VIS och hanteringen föranleder därför inga synpunkter från IMY.

text: 3.6 Radering av uppgifter i VIS när domstol ändrat ett tidigare avslagsbeslut

text: Av artikel 25.3 i VIS-förordningen framgår att om ett avslag på en ansökan om visering har upphävts av domstol eller överklagandeinstans ska den medlemsstat som avslog ansökan radera de uppgifter som avses i artikel 12 i VIS-förordningen så snart beslutet att upphäva avslaget har vunnit laga kraft.

text: Migrationsverket har initialt uppgett att det finns en framtagen manuell rutin för att tillse att en ansökan raderas i enlighet med artikel 25.3 i VIS-förordningen men att det vid myndighetens kontroll framkommit att rutinen inte alltid följts. I september 2021 har Migrationsverket kompletterat med information om att det sedan tidigare finns en funktion i W2 där beslutsfattare vid utlandsmyndigheterna kan ta bort ett beslut från C- VIS. Migrationsverket har nu förtydligat rutinen för hur denna funktion ska användas i enlighet med

text: artikel 25.3

text: VIS-förordningen. Migrationsverket har också tagits fram ett förslag till hur borttagandet kan automatiseras och informerat om att den it-utveckling som krävs för att införa automatiseringen förväntas kunna genomföras under Q1 2022.

text: IMY ser positivt på att Migrationsverket förtydligat den manuella rutinen för radering enligt artikel 25.3 i VIS-förordningen och planerna att ta fram en automatiserad rutin och har inga synpunkter på hanteringen.

text: 3.7 Gallring av uppgifter i de nationella informationssystemen

text: 3.7.1 Uppgifter i de nationella systemen

text: Enligt dataskyddsförordningen, se artiklarna

text: 5.1 b

text: 5.1 e

text: och

text: , finns det möjligheter att spara uppgifter för arkivändmål med stöd av nationella bestämmelser. En myndighet är enligt

text: arkivlagen (1990:782)

text: och

text: arkivförordningen (1991:446)

text: skyldig att bevara sina allmänna handlingar och får endast, enligt

text: 14 § arkivförordningen

text: , gallra dessa i enlighet med föreskrifter eller beslut av Riksarkivet, om inte särskilda gallringsföreskrifter finns i lag eller förordning.

text: Av bilagan till Riksarkivets föreskrift

text: RA-MS 2013:45

text: avsnitt 5.2.1.6 framgår att Migrationsverket får gallra handlingar i viseringsärenden fem år efter beslutsdatum

text: Enligt Migrationsverket säkerställer myndigheten, både genom automatisk gallring och manuella rutiner, att handlingar tas bort i nationella informationssystem. Enligt Migrationsverket gallras uppgifter från de nationella operativa systemen efter sex år. Det är viseringshandlingarna som gallras. Viss information, som personinformation och

text: övergripande information, förs över till ett nationellt e-arkiv, som är en separat databas avskilt från de nationella operativa systemen. Om det finns flera ärenden kopplade till en individ sker gallring när gallringsfristen utgått avseende samtliga viseringsärenden.

text: Migrationsverkets har uppgett att skälet till att uppgifter gallras efter sex år och inte fem år efter beslutsdatum, som gallringsföreskriften tillåter, är verksamhetsskäl.

text: IMY har inga synpunkter på det som framkommit i ärendet avseende hur Migrationsverket gallrar viseringsuppgifter respektive för över uppgifter till e-arkivet.

text: 3.7.2 Uppgifter hämtade från C-VIS

text: Uppgifter som sparas i det nationella systemet kan antingen vara uppgifter som hämtats från den centrala databasen C-VIS och som andra medlemsstaters lagt in eller uppgifter som Sverige lagt in.

text: I

text: artikel 30.1

text: VIS-förordningen anges att uppgifter från C-VIS endast får sparas i ett enskilt fall så länge som det är nödvändigt i enlighet med ändamålen med VIS och i enlighet med tillämpliga rättsliga bestämmelser. Av

text: artikel 30.2

text: framgår att det inte påverkar medlemsstaternas rätt att lagra uppgifter som de har fört in i VIS i sina nationella informationssystem. All användning som inte är förenlig med punkterna 1 och 2 ska, enligt 30.3 VIS-förordningen, betraktas som missbruk enligt varje medlemsstats nationella lagstiftning.

text: Enligt Migrationsverket sparas inga hämtade uppgifter från C-VIS i de nationella systemen utöver den VisMail-korrespondens som kan finnas i enskilda viseringsoch/eller asylärenden. Dessa uppgifter gallras samtidigt som ärendet i dess helhet gallras enligt nationella gallringsregler.

text: IMY har inga synpunkter på hanteringen.

text: 3.8 Utbildning av personal vid utlandsmyndigheterna

text: Migrationsverket har under den pågående tillsynen driftsatt en interaktiv dataskyddsutbildning för anställda. Den tillhandahålls till den personal på utlandsmyndigheterna och på Migrationsverket som arbetar i VIS. Utbildningen har funnits tillgänglig sedan slutet av 2020. En uppföljning av vilka som gått utbildningen är planerad som en aktivitet för nästa år. Migrationsverkets dataskyddsombud har ansvaret för uppföljningen.

text: IMY ser positivt på att Migrationsverket tagit fram en interaktiv utbildning och har inga synpunkter.

text: 3.9 VIS och it-säkerhet

text: 3.9.1 Vad granskningen av it-säkerheten omfattat

text: Migrationsverket har beskrivit rutinerna för behörighetstilldelning, identifiering av användare, dokumentation över it-arkitekturen, policy för byte av lösenord, kontroller av behörigheter, hanteringen av användarloggar och datakvalitetsgranskningar.

text: 3.9.2 Tillämpliga bestämmelser

text: De grundläggande principerna för behandling av personuppgifter anges i

text: artikel 5

text: dataskyddsförordningen. En grundläggande princip är kravet på säkerhet enligt

text: artikel 5.1 f

text: , som anger att personuppgifterna ska behandlas på ett sätt

text: som säkerställer lämplig säkerhet för personuppgifterna, inbegripet skydd mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olyckshändelse, med användning av lämpliga tekniska eller organisatoriska åtgärder.

text: Av

text: artikel 5.2

text: dataskyddsförordningen framgår den s.k. ansvarsskyldigheten, dvs. att den personuppgiftsansvarige ska ansvara för och kunna visa att de grundläggande principerna i punkt 1 efterlevs.

text: Artikel 32

text: dataskyddsförordningen reglerar säkerheten i samband med behandlingen. Enligt punkt 1 ska den personuppgiftsansvarige, med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter, vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken (...). Enligt punkt 2 ska vid bedömningen av lämplig säkerhetsnivå särskild hänsyn tas till de risker som behandlingen medför, i synnerhet från oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats.

text: I

text: artikel 32.2

text: VIS-förordningen anges närmare krav på it-säkerheten avseende det nationella gränssnittet. Även om artikeln enligt ordalydelsen i artikeln riktar sig till medlemsstaterna ger den vägledning vid tolkningen av

text: artikel 32

text: dataskyddsförordningen av kravet på att vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken. Migrationsverket är personuppgiftsansvarig för VIS i Sverige och är därmed den myndighet som ytterst ansvarar för att kraven i

text: artikel 32

text: dataskyddsförordningen och 32.2 VIS-förordningen är uppfyllda.

text: 3.9.3 Dokumentation av it-arkitekturen över VIS

text: En korrekt och uppdaterad dokumentation över it-arkitekturen är en viktig del i att skydda informationen och it-system och minska risker och sårbarhet t.ex. när personal byts ut eller slutar. Det är en sådan organisatorisk åtgärd som krävs enligt

text: artikel 32

text: dataskyddsförordningen.

text: Vid inspektionstillfälle ett överlämnade Migrationsverket ett dokument över itarkitekturen i VIS som enligt myndigheten inte var färdigställd. Vid inspektionstillfälle tre har Migrationsverket lämnat in en uppdaterad version, som föranletts av ett projekt med syfte att anpassa arkitekturen till ett kommande EU-system. Den uppdaterade versionen av dokumentet speglar enligt Migrationsverket det utseende som den nationella delen av VIS har just nu, men projektet kommer innebära att strukturen görs om.

text: Den senaste versionen av dokumentet som IMY tagit del av har status ”utkast” angiven i dokumentet och det saknas beslutsdatum i rutan ”beslutad av” och information i rutan ”godkänd av”. Enligt dokumenthistoriken uppdaterades det senast den 3-4 februari 2020.

text: IMY ifrågasätter inte Migrationsverkets uppgift om att dokumentet är uppdaterat och återger den nuvarande it-arkitekturen. Det finns dock inte någon information i rutan ”godkänd av” och rutan för datum för godkännande, vilket skulle kunna betyda att dokumentet inte formellt är beslutat av myndigheten. Det är inte heller tydligt för den som läser dokumentet att det är uppdaterat och återspeglar nuvarande it-arkitektur.

text: Enligt IMY är det sannolikt, på grund av oklarheten kring dokumentets status för läsaren, att det kan uppstå felaktigheter vid utvecklingen och förvaltning av VIS, vilket i sin tur kan leda till att Migrationsverket inte vidtar lämpliga tekniska och organisatoriska åtgärder som säkerställer en lämplig säkerhetsnivå enligt

text: artikel 32

text: dataskyddsförordningen.

text: 3.9.4 Loggning av användaraktiviteter och logguppföljning

text: I artikel 32.2 i VIS-förordningen anges att varje medlemsstat ska, med avseende på sitt nationella gränssnitt, vidta de åtgärder som är nödvändiga, inbegripet anta en dataskyddsplan, för att se till att det finns möjlighet att verifiera och fastställa vilka uppgifter som har registrerats i VIS, när detta har gjorts, av vem, och i vilket syfte (kontroll av uppgiftsregistreringen).

text: Migrationsverket har beskrivit hur loggningen av användaraktiviteter går till. IMY har även vid inspektionstillfälle tre granskat vilka uppgifter som har registrerats i användarloggen avseende två avslutade viseringsärenden.

text: Migrationsverkets information och IMY:s stickprovskontroll visar att det går att verifiera och fastställa vilka uppgifter som har registrerats i VIS, när detta har gjorts, av vem, och i vilket syfte. IMY har mot den bakgrunden inga synpunkter på loggningen av användaraktiviteter.

text: 3.9.5 Gallring av användarloggar

text: En användarlogg som sparas längre än vad som är nödvändigt för ändamålet kan i sig innebära en säkerhetsrisk. I bedömningen, enligt

text: artikel 32

text: dataskyddsförordningen, av lämpliga säkerhetsåtgärder och användarloggar ligger att ta ställning till hur länge det finns ett behov av att spara dessa ur ett it-säkerhetsperspektiv. Enligt principen om lagringsminimering i

text: artikel 5 c

text: dataskyddsförordningen ska personuppgifter inte sparas längre än vad som är nödvändigt för ändamålet.

text: Enligt Migrationsverket ska användarloggarna gallras efter 10 år, vilket motsvarar preskriptionstiden för grovt dataintrång. Vid inspektion 2 uppgav Migrationsverket att myndigheten ännu inte fått igång någon rutin för gallring av användarloggar. IMY har därefter begärt in uppgift om hur gammal den äldsta loggposten är och fått svar från Migrationsverket att den registrerades 2012-09-01.

text: På befintligt underlag ifrågasätter inte IMY den valda tidsperioden att spara loggar. IMY konstaterar dock att valet av tidsperiod främst synes bygga på ett informationssäkerhetsperspektiv och inte ett integritetsperspektiv och vill därför understryka att båda perspektiven ska tas i beaktande vid bedömningen.

text: Vidare kan IMY konstatera att det ännu inte skett någon gallring av användarloggar, vilket förklaras av att den äldsta loggposten registrerades för lite drygt nio år sedan dvs. tiden för gallring har ännu inte passerat. En avsaknad av en rutin för gallring av användarloggar kan, nu när tidpunkten att börja gallra loggar närmar sig, sannolikt leda till en felaktig behandling av personuppgifter dvs. att uppgifter i användarloggar sparas för länge i strid med

text: artikel 5 e

text: dataskyddsförordningen.

text: 4. Val av ingripande

text: 4.1 Rättslig reglering

text: IMY har ett antal korrigerande befogenheter att tillgå enligt

text: artikel 58.2

text: dataskyddsförordningen. Om en behandling sannolikt kommer att bryta mot bestämmelserna i dataskyddsförordningen eller kompletterande författningar kan IMY enligt

text: artikel 58.2 a

text: dataskyddsförordningen utfärda en varning.

text: Övriga korrigerande åtgärder i artikel 58.2

text: b

text: j

text: dvs. framförallt reprimand, föreläggande eller administrativa sanktionsavgifter, förutsätter att IMY konstaterat att den personuppgiftsansvarige behandlar personuppgifter i strid med dataskyddsförordningen eller kompletterande författningar.

text: 4.2 Migrationsverket ska tilldelas två varningar

text: I avsnitt 3.9.3 och 3.9.5 har IMY bedömt att det är sannolikt att Migrationsverkets behandling kan komma att leda till felaktig behandling av personuppgifter. Det är inte fråga om konstaterade brister som kan föranleda reprimand, föreläggande eller administrativa sanktionsavgifter. I övrigt har IMY inte konstaterat någon överträdelse av dataskyddsförordningen. Det innebär att den korrigerande befogenhet som är möjlig för IMY att använda inom ramen för den här tillsynen är varningar.

text: Båda sannolikheterna är av sådan karaktär att det enligt IMY är motiverat att tilldela en varning för att kommande behandlingar kan komma att stå i strid med

text: artikel 5 e

text: dataskyddsförordningen respektive

text: artikel 32

text: dataskyddsförordningen.

text: Detta beslut har fattats av enhetschefen Charlotte Waller Dahlberg efter föredragning av juristen Jonas Agnvall. Vid den slutliga handläggningen av ärendet har även juristerna Lisa Zettervall och It-säkerhetsspecialisten Johan Ma medverkat.

text: Charlotte Waller Dahlberg, 2021-11-17 (Det här är en elektronisk signatur)

text: Kopia till:

text: Dataskyddsombudet


text: Ert diarienr

titel: Beslut mot Ekobrottsmyndigheten

nyckelord: Dataskydd Brottsbekämpning Myndighet

slug: brottsbekampande-myndigheter

title: Brottsbekämpande myndigheter – Beslut mot Ekobrottsmyndigheten

text: Ekobrottsmyndigheten Box 22098 104 22 Stockholm

text: Tillsyn enligt

text: brottsdatalagen (2018:1177)

text: – Ekobrottsmyndighetens förteckning över behandlingar

text: Datainspektionens beslut

text: 1. Datainspektionen konstaterar att Ekobrottsmyndighetens förteckning över behandlingar, för varje kategori av behandling, anger de kategorier av registrerade som berörs av behandlingen enligt

text: 3 kap. 3 § 5 brottsdataförordningen (2018:1202)

text: på ett otydligt sätt.

text: Datainspektionen förelägger enligt

text: 5 kap. 7 § 2 brottsdatalagen

text: Ekobrottsmyndigheten att i förteckningen över behandlingar, för varje kategori av behandling, ange de kategorier av registrerade som berörs av behandlingen på så sätt som anges i motiveringen till detta beslut, senast den 31 december 2019.

text: 2. Datainspektionen konstaterar att Ekobrottsmyndighetens förteckning över behandlingar, för varje kategori av behandling, anger de kategorier av personuppgifter som kan komma att behandlas enligt

text: 3 kap. 3 § 6 brottsdataförordningen

text: på ett otydligt sätt.

text: Datainspektionen förelägger enligt

text: 5 kap. 7 § 2 brottsdatalagen

text: Ekobrottsmyndigheten att i förteckningen över behandlingar, för varje kategori av behandling, ange de kategorier av personuppgifter som kan komma att behandlas på så sätt som anges i motiveringen till detta beslut, senast den 31 december 2019.

text: 3. Ekobrottsmyndigheten föreläggs att senast den 31 december 2019 lämna en skriftlig redovisning till Datainspektionen av de åtgärder som Ekobrottsmyndigheten har vidtagit med anledning av föreläggandena i punkterna 1-2.

text: Redogörelse för tillsynsärendet

text: Datainspektionen har den 11 februari 2019 inlett tillsyn mot Ekobrottsmyndigheten i syfte att granska om Ekobrottsmyndighetens förteckning över behandlingar av personuppgifter är i överensstämmelse med

text: 3 kap. 3 § brottsdataförordningen

text: Datainspektionen har inom ramen för tillsynsärendet besökt Ekobrottsmyndigheten den 14 mars 2019. Ekobrottsmyndigheten har vid inspektionen förevisat förteckningen över behandlingar. Datainspektionen har vid inspektionen granskat vissa utvalda kategorier av behandlingar i förteckningen över behandlingar. Urvalet bestod av centrala system i Ekobrottsmyndighetens verksamhet samt ett antal slumpmässigt utvalda kategorier av behandlingar. Ekobrottsmyndigheten har fått tillfälle att yttra sig över det inspektionsprotokoll som upprättats i samband med inspektionstillfället. Datainspektionen har även ställt frågor 0m Ekobrottsmyndighetens förteckning över behandlingar.

text: Ekobrottsmyndigheten har i huvudsak uppgett följande. Det finns tre val av Kategorier av registrerade (F): Extern part, Anställda på EBM och Uppdragstagare på EBM. Extern part är parter utanför myndigheten.

text: Det finns fem val av Kategorier av personuppgifter (G): Namn, Personnummer, Kontaktuppgifter, Bild/film där person kan identifieras och Övrig personuppgift. Övrig personuppgift kan till exempel vara finansiell data som kan knytas till en viss person. Känsliga personuppgifter behandlas i normalfallet inte per se i Ekobrottsmyndighetens verksamhet. Om känsliga personuppgifter förekommer så är det frågan om uppgifter som lämnats i en anmälan, förhör eller liknande sammanhang. Om det med kan komma att behandlas menas att varje kategori av personuppgifter som i teorin kan komma att behandlas inom ramen för en kategori av behandling skulle kategorin ”Känsliga personuppgifter” behöva anges för varje kategori av behandling som ingår i myndighetens förteckning.

text: Ekobrottsmyndigheten har inte funnit någon kategori av behandling där överföring till tredjeland sker. Det skulle i sådana fall anges under Kategorier av mottagare (E).

text: Om en ruta/fält är tom betyder det att det inte förekommer eller inte är tillämpbart för den kategorin av behandling.

text: Datainspektionen har vid sin granskning av Ekobrottsmyndighetens förteckning över behandlingar iakttagit huvudsakligen följande. Förteckningen över behandlingar är strukturerad kring nio olika uppgiftsmängder som är följande. A. Kategori av behandling, B. Rättslig grund för behandling, C. Ändamål med behandling, D. Kategorier av tjänstemän, E. Kategorier av mottagare, F. Kategorier av registrerade, G. Kategorier av personuppgifter, H. Tidsfrist för behandling samt I. Säkerhetsåtgärder.

text: Varje kategori av behandling innehåller uppgift om användning av profilering.

text: Motivering av beslutet

text: Vad Datainspektionen har att ta ställning till

text: Datainspektionen har i tillsynsärendet att ta ställning till om Ekobrottsmyndighetens förteckning över behandlingar, uppfyller kraven i

text: 3 kap. 3 § brottsdataförordningen

text: . Inspektionen har valt att begränsa tillsynen genom att välja ut vissa kategorier av behandlingar i förteckningen för särskild

text: granskning. Tillämpliga bestämmelser

text: Den 1 augusti 2018 trädde

text: brottsdatalagen

text: i kraft med kompletterande bestämmelser i

text: brottsdataförordningen

text: Brottsdatalagen

text: gäller enligt

text: 1 kap. 2 §

text: för behandling av personuppgifter som utförs i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra

text: brott eller verkställa straffrättsliga påföljder. Den gäller också vid behandling av personuppgifter som utförs i syfte att upprätthålla allmän ordning och säkerhet. För Ekobrottsmyndigheten gäller utöver

text: brottsdatalagen

text: sedan den 1 januari 2019 även lagen (

text: ) om åklagarväsendets behandling av personuppgifter inom

text: brottsdatalagens

text: område och lagen (

text: ) om polisens behandling av personuppgifter inom

text: brottsdatalagens

text: område. Kompletterande bestämmelser finns i förordningen (

text: brottsdatalagens

text: område och i förordningen (

text: brottsdatalagens

text: område.

text: Enligt

text: 3 kap. 3 § brottsdataförordningen

text: ska den personuppgiftsansvarige föra en förteckning över de kategorier av behandlingar av personuppgifter som denne ansvarar för. Förteckningen ska innehålla namnet på och kontaktuppgifter till den personuppgiftsansvarige, gemensamt personuppgiftsansvariga och dataskyddsombud. Förteckningen ska dessutom, för varje kategori av behandling, innehålla följande uppgifter: 1. den rättsliga grunden för behandlingen, 2. ändamålen med behandlingen, 3. de kategorier av tjänstemän som har tillgång till de personuppgifter som behandlas, 4. de kategorier av mottagare som uppgifterna kan komma att lämnas ut till, även i tredjeland eller internationella organisationer, 5. de kategorier av registrerade som berörs av behandlingen, 6. de kategorier av personuppgifter som kan komma att behandlas, 7. samlingar av överföringar av personuppgifter till tredjeland eller internationella organisationer, 8. användning av profilering, 9. om det är möjligt, tidsfrister för hur länge kategorierna av personuppgifter får behandlas, och 10. om det är möjligt, en allmän beskrivning av vilka säkerhetsåtgärder som har vidtagits.

text: Enligt

text: 5 kap. 7 § brottsdatalagen

text: får Datainspektionen använda de korrigerande befogenheterna om det konstateras att personuppgifter behandlas i strid med lag eller annan författning eller att den personuppgiftsansvarige eller personuppgiftsbiträdet på något annat sätt inte fullgör sina skyldigheter.

text: Ekobrottsmyndigheten för en förteckning enligt

text: 3 kap. 3 § brottsdataförordningen

text: över de kategorier av behandlingar av personuppgifter som myndigheten ansvarar för enligt

text: brottsdatalagen

text: . För varje kategori av behandling ska det enligt bestämmelsen anges vissa uppräknade uppgifter (punkterna 1-10). Ekobrottsmyndighetens förteckning över behandlingar innehåller för varje kategori av behandling punkterna 1-6 och 8-10.

text: Datainspektionen har inte några synpunkter avseende punkterna 1-4 samt 7-10. Samlingar av överföringar av personuppgifter till tredjeland eller internationella organisationer (punkten 7) anges inte som en särskild kolumn i Ekobrottsmyndighetens förteckning över behandlingar. Enligt förarbetena till

text: brottsdatalagen

text: tar

text: 3 kap. 3 § 7 brottsdataförordningen

text: sikte på vissa överföringar som har gjorts till tredjeland eller internationella organisationer (se

text: SOU 2017:29 s. 323

text: och s. 621-624). Datainspektionen förutsätter att sådana överföringar, om de inträffar, kommer att förtecknas i Ekobrottsmyndighetens förteckning över behandlingar.

text: Punkten 5 – de kategorier av registrerade som berörs av behandlingen

text: Datainspektionens bedömning

text: Datainspektionen konstaterar att Ekobrottsmyndighetens förteckning över behandlingar, för varje kategori av behandling, anger de kategorier av registrerade som berörs av behandlingen på ett otydligt sätt.

text: Skälen för Datainspektionens bedömning är följande

text: Enligt

text: 3 kap. 3 § 5 brottsdataförordningen

text: ska en förteckning över behandlingar, för varje kategori av behandling, innehålla uppgifter om de kategorier av registrerade som berörs av behandlingen.

text: I Ekobrottsmyndighetens förteckning över behandlingar anges de kategorier av registrerade som berörs av behandlingen, för varje kategori av behandling, antingen som ”Extern part”, ”Anställda på EBM” och ”Uppdragstagare på EBM”. Ekobrottsmyndigheten har uppgett att ”Extern part” är parter utanför myndigheten.

text: Av förarbetena till

text: brottsdatalagen

text: framgår att kategorier av registrerade kan vara en grupp av personer som har en specifik roll, t.ex. misstänkta, målsägande, vittnen eller anhöriga till någon av dessa (se

text: SOU 2017:29 s. 322

text: Datainspektionen anser med anledning av det som framgår av förarbetena att det inte är tillräckligt att enbart ange ”Extern part”. Inspektionen konstaterar därför att Ekobrottsmyndighetens förteckning över behandlingar, för varje kategori av behandling, anger de kategorier av registrerade som berörs av behandlingen på ett otydligt sätt. Inspektionen har med anledning av detta funnit skäl att använda de korrigerande befogenheterna i

text: 5 kap. 7 § brottsdatalagen

text: Datainspektionen förelägger enligt

text: 5 kap. 7 § 2 brottsdatalagen

text: Ekobrottsmyndigheten att i förteckningen över behandlingar, för varje kategori av behandling, förtydliga de kategorier av registrerade som berörs av behandlingen. Ledning för hur kategorier av registrerade kan förtecknas ges i de ovan angivna förarbetsuttalandena.

text: Punkten 6 – de kategorier av personuppgifter som kan komma att behandlas

text: Datainspektionens bedömning

text: Enligt

text: 3 kap. 3 § 6 brottsdataförordningen

text: ska en förteckning över behandlingar, för varje kategori av behandling, innehålla uppgifter om de kategorier av personuppgifter som kan komma att behandlas.

text: I Ekobrottsmyndighetens förteckning över behandlingar anges inte känsliga personuppgifter som en kategori av personuppgift som kan komma att behandlas. Ekobrottsmyndigheten har uppgett att om känsliga personuppgifter förekommer så är det frågan om uppgifter som lämnats i en anmälan, förhör eller liknande sammanhang.

text: Av förarbetena till

text: brottsdatalagen

text: framgår att när det gäller kategorier av personuppgifter är det främst förekomsten av känsliga personuppgifter som avses (se

text: SOU 2017:29 s. 322

text: ). I förarbetena till

text: brottsdatalagen

text: ges ingen vägledning kring hur lydelsen kan komma att behandlas i

text: 3 kap. 3 § 6 brottsdataförordningen

text: ska uppfattas och Datainspektionen har förståelse för Ekobrottsmyndighetens resonemang att en alltför vid tolkning innebär att ”Känsliga personuppgifter” som kategori av personuppgift kan behöva anges

text: för varje kategori av behandling. Samtidigt kan

text: 3 kap. 3 § 6 brottsdataförordningen

text: enligt Datainspektionens mening inte tolkas på sådant sätt att känsliga personuppgifter som lämnas i en anmälan, förhör eller liknande sammanhang inte omfattas av

text: 3 kap. 3 § 6 brottsdataförordningen

text: . Med anledning av det som framgår av förarbetena anser Datainspektionen att känsliga personuppgifter behöver anges för varje kategori av behandling, för det fall Ekobrottsmyndigheten bedömer att sådana uppgifter kan komma att behandlas. Datainspektionen konstaterar att Ekobrottsmyndighetens förteckning över behandlingar, för varje kategori av behandling, anger de kategorier av personuppgifter som kan komma att behandlas på ett otydligt sätt. Inspektionen har med anledning av detta funnit skäl att använda de korrigerande befogenheterna i

text: 5 kap. 7 § brottsdatalagen

text: Datainspektionen förelägger enligt

text: 5 kap. 7 § 2 brottsdatalagen

text: Ekobrottsmyndigheten att i förteckningen över behandlingar, ange känsliga personuppgifter som kategori av personuppgift, för de kategorier av behandlingar som Ekobrottsmyndigheten bedömer att känsliga personuppgifter kan komma att behandlas.

text: Detta beslut har fattats av enhetschefen Charlotte Waller Dahlberg efter föredragning av juristen Max Blidberg.

text: Charlotte Waller Dahlberg

text: Max Blidberg

text: Kopia till:

text: Säkerhets- och integritetsskyddsnämnden

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till Datainspektionen. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Datainspektionen senast tre veckor från den dag beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder Datainspektionen det vidare till Förvaltningsrätten i Stockholm för prövning.

text: Ni kan e-posta överklagandet till Datainspektionen om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.


text: Ert diarienr

titel: Beslut mot Åklagarmyndigheten

title: Brottsbekämpande myndigheter – Beslut mot Åklagarmyndigheten

text: Åklagarmyndigheten Box 5553 114 85 Stockholm

text: Tillsyn enligt

text: brottsdatalagen (2018:1177)

text: – Åklagarmyndighetens förteckning över behandlingar

text: Datainspektionens beslut

text: 1. Datainspektionen konstaterar att Åklagarmyndighetens förteckning över behandlingar saknar namnet på och kontaktuppgifter till den personuppgiftsansvarige, gemensamt personuppgiftsansvariga och dataskyddsombud enligt

text: 3 kap. 3 § brottsdataförordningen (2018:1202)

text: Datainspektionen förelägger enligt

text: 5 kap. 7 § 2 brottsdatalagen

text: Åklagarmyndigheten att i förteckningen över behandlingar ange namnet på och kontaktuppgifter till den personuppgiftsansvarige, gemensamt personuppgiftsansvariga och dataskyddsombud, senast den 31 december 2019.

text: 2. Datainspektionen konstaterar att Åklagarmyndighetens förteckning över behandlingar, för varje kategori av behandling, anger ändamålen med behandlingen enligt

text: 3 kap. 3 § 2 brottsdataförordningen

text: på ett opreciserat sätt.

text: Datainspektionen förelägger enligt

text: 5 kap. 7 § 2 brottsdatalagen

text: Åklagarmyndigheten att i förteckningen över behandlingar, för varje kategori av behandling, precisera ändamålen med behandlingen på så sätt som anges i motiveringen till detta beslut, senast den 31 december 2019.

text: 3. Åklagarmyndigheten föreläggs att senast den 31 december 2019 lämna en skriftlig redovisning till Datainspektionen av de åtgärder som Åklagarmyndigheten har vidtagit med anledning av föreläggandena i punkterna 1-2.

text: Redogörelse för tillsynsärendet

text: Datainspektionen har den 11 februari 2019 inlett tillsyn mot Åklagarmyndigheten i syfte att granska om Åklagarmyndighetens förteckning över behandlingar av personuppgifter är i överensstämmelse med

text: 3 kap. 3 § brottsdataförordningen

text: Datainspektionen har vid sin granskning av Åklagarmyndighetens förteckning över behandlingar iakttagit huvudsakligen följande. Förteckningen över behandlingar innehåller följande kolumner. - den rättsliga grunden för behandlingen, - ändamålen med behandlingen, - de kategorier av tjänstemän som har tillgång till de personuppgifter som behandlas, - de kategorier av mottagare som uppgifterna kan komma att lämnas ut till, även i tredjeland eller internationella organisationer - de kategorier av registrerade som berörs av behandlingen, - de kategorier av personuppgifter som kan komma att behandlas, - samlingar av överföringar av personuppgifter till tredjeland eller internationella organisationer, - användning av profilering, - om det är möjligt, tidsfrister för hur länge kategorierna av personuppgifter får behandlas och - allmän beskrivning av vilka säkerhetsåtgärder som har vidtagits.

text: Motivering av beslutet

text: Vad Datainspektionen har att ta ställning till

text: Datainspektionen har i tillsynsärendet att ta ställning till om Åklagarmyndighetens förteckning över behandlingar, uppfyller kraven i

text: 3 kap. 3 § brottsdataförordningen

text: . Tillämpliga bestämmelser

text: Den 1 augusti 2018 trädde

text: brottsdatalagen

text: i kraft med kompletterande bestämmelser i

text: brottsdataförordningen

text: Brottsdatalagen

text: gäller enligt

text: 1 kap. 2 §

text: för behandling av personuppgifter som utförs i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder. Den gäller också vid behandling av personuppgifter som utförs i syfte att upprätthålla allmän ordning och säkerhet. För Åklagarmyndigheten gäller utöver

text: brottsdatalagen

text: sedan den 1 januari 2019 även lagen (

text: ) om åklagarväsendets behandling av personuppgifter inom

text: brottsdatalagens

text: område (åklagarväsendets brottsdatalag) med kompletterande bestämmelser i förordningen (

text: brottsdatalagens

text: område.

text: Enligt

text: 3 kap. 3 § brottsdataförordningen

text: ska den personuppgiftsansvarige föra en förteckning över de kategorier av behandlingar av personuppgifter som denne ansvarar för. Förteckningen ska innehålla namnet på och kontaktuppgifter till den personuppgiftsansvarige, gemensamt personuppgiftsansvariga och dataskyddsombud. Förteckningen ska dessutom, för varje kategori av behandling, innehålla följande uppgifter: 1. den rättsliga grunden för behandlingen, 2. ändamålen med behandlingen, 3. de kategorier av tjänstemän som har tillgång till de personuppgifter som behandlas, 4. de kategorier av mottagare som uppgifterna kan komma att lämnas ut till, även i tredjeland eller internationella organisationer, 5. de kategorier av registrerade som berörs av behandlingen, 6. de kategorier av personuppgifter som kan komma att behandlas, 7. samlingar av överföringar av personuppgifter till tredjeland eller internationella organisationer, 8. användning av profilering,

text: 9. om det är möjligt, tidsfrister för hur länge kategorierna av personuppgifter får behandlas, och 10. om det är möjligt, en allmän beskrivning av vilka säkerhetsåtgärder som har vidtagits.

text: Enligt

text: 5 kap. 7 § brottsdatalagen

text: får Datainspektionen använda de korrigerande befogenheterna om det konstateras att personuppgifter behandlas i strid med lag eller annan författning eller att den personuppgiftsansvarige eller personuppgiftsbiträdet på något annat sätt inte fullgör sina skyldigheter.

text: Åklagarmyndigheten för en förteckning enligt

text: 3 kap. 3 § brottsdataförordningen

text: över de kategorier av behandlingar av personuppgifter som myndigheten ansvarar för enligt

text: brottsdatalagen

text: . För varje kategori av behandling ska det enligt bestämmelsen anges vissa uppräknade uppgifter (punkterna 1-10). Åklagarmyndighetens förteckning över behandlingar innehåller för varje kategori av behandling punkterna 1-10. Datainspektionen har inte några synpunkter avseende punkterna 1 samt 3-10.

text: I Åklagarmyndighetens förteckning över behandlingar anges samlingar av överföringar av personuppgifter till tredjeland eller internationella organisationer (punkten 7) för vissa kategorier av behandlingar som ”uppgifter som lämnas ut med anledning av ansökan från annan stat om rättslig hjälp eller arresteringsorder”. Enligt förarbetena till

text: brottsdatalagen

text: tar

text: 3 kap. 3 § 7 brottsdataförordningen

text: sikte på vissa överföringar som har gjorts till tredjeland eller internationella organisationer (se

text: SOU 2017:29 s. 323

text: och s. 621-624). Datainspektionen förutsätter att sådana överföringar, om de inträffar, kommer att förtecknas i Åklagarmyndighetens förteckning över behandlingar.

text: Kontaktuppgifter

text: Datainspektionens bedömning

text: Skälen för Datainspektionens bedömning är följande

text: En förteckning över behandlingar ska enligt

text: 3 kap. 3 § brottsdataförordningen

text: Datainspektionen konstaterar att Åklagarmyndighetens förteckning över behandlingar saknar namnet på och kontaktuppgifter till den personuppgiftsansvarige, gemensamt personuppgiftsansvariga och dataskyddsombud. Inspektionen har med anledning av detta funnit skäl att använda de korrigerande befogenheterna i

text: 5 kap. 7 § brottsdatalagen

text: Datainspektionen förelägger enligt

text: 5 kap. 7 § 2 brottsdatalagen

text: Åklagarmyndigheten att i förteckningen över behandlingar ange namnet på och kontaktuppgifter till den personuppgiftsansvarige, gemensamt personuppgiftsansvariga och dataskyddsombud.

text: Punkten 2 – ändamålen med behandlingen

text: Datainspektionens bedömning

text: Datainspektionen konstaterar att Åklagarmyndighetens förteckning över behandlingar, för varje kategori av behandling, anger ändamålen med behandlingen på ett opreciserat sätt.

text: Enligt

text: 3 kap. 3 § 2 brottsdataförordningen

text: ska en förteckning över behandlingar, för varje kategori av behandling, innehålla uppgifter om ändamålen med behandlingen.

text: I Åklagarmyndighetens förteckning över behandlingar anges ändamålen med behandlingen, för varje kategori av behandling, antingen som ”1. förebygga eller förhindra brottslig verksamhet”, ”2. utreda eller lagföra brott”, ”3. handlägga frågor om ändring eller verkställighet av straffrättsliga påföljder”, ”4. handlägga frågor som rör upprätthållande av allmän ordning och säkerhet” eller ”5. fullgöra förpliktelser som följer av internationella åtaganden”. Punkterna 1-5 i kolumnen ”ändamålen med behandlingen” motsvarar de rättsliga grunder som anges i 2 kap. 1 § åklagarväsendets brottsdatalag. Bestämmelsen i 2 kap. 1 § åklagarväsendets brottsdatalag anges i kolumnen ”den rättsliga grunden för behandlingen” för varje kategori av behandling, utom en, i Åklagarmyndighetens förteckning över behandlingar.

text: I

text: 3 kap. 3 § brottsdataförordningen

text: görs en uppdelning mellan den rättsliga grunden för behandlingen (punkten 1) och ändamålen med behandlingen (punkten 2). I förarbetena till

text: brottsdatalagen

text: anges att ändamålen med behandlingen ska förtecknas i det register som myndigheten ska föra men att det inte innebär att den personuppgiftsansvarige måste förteckna alla de enskilda fall där myndigheten behandlar personuppgifter. Det som avses är de typer av ändamål som myndigheten behandlar personuppgifter för. Som exempel nämns att Polismyndigheten behandlar personuppgifter bl.a. för att ta emot anmälningar om brott, genomföra undersökningar, verkställa uppbörd av bötesstraff och dokumentera ingripanden vid ordningsstörningar (jfr

text: prop. 2017/18:232 s. 121

text: På det sätt som Åklagarmyndigheten angett ”ändamålen med behandlingen” i sin förteckning över behandlingar, för varje kategori av behandling utom en, innebär att samma uppgifter anges för ”ändamålen med behandlingen” som för ”den rättsliga grunden för behandlingen”. Datainspektionen anser, med anledning av hur

text: 3 kap. 3 § brottsdataförordningen

text: är utformad, att det inte är tillräckligt att ange samma uppgifter under ”den rättsliga grunden för behandlingen” som för ”ändamålen med behandlingen” för att uppfylla kravet i

text: 3 kap. 3 § 2 brottsdataförordningen

text: . Vid sin granskning av Åklagarmyndighetens förteckning över behandlingar kan Datainspektionen inte heller se att ”ändamålen med behandlingen” har angetts för kategorin av behandling benämnd ”Cåsa - Statistiksystem”. Att inte ange ”ändamålen med behandlingen” för en kategori av behandling uppfyller inte heller kravet i

text: 3 kap. 3 § 2 brottsdataförordningen

text: Datainspektionen konstaterar mot denna bakgrund att Åklagarmyndighetens förteckning över behandlingar, för varje kategori av behandling, anger ändamålen med behandlingen på ett opreciserat sätt. Inspektionen har med anledning av detta funnit skäl att använda de korrigerande befogenheterna i

text: 5 kap. 7 § brottsdatalagen

text: Datainspektionen förelägger enligt

text: 5 kap. 7 § 2 brottsdatalagen

text: Åklagarmyndigheten att i förteckningen över behandlingar, för varje kategori av behandling, precisera ändamålen med behandlingen. Ledning för hur ändamålen med en behandling kan förtecknas ges i de ovan angivna förarbetsuttalandena.

text: Detta beslut har fattats av enhetschefen Charlotte Waller Dahlberg efter föredragning av juristen Max Blidberg .

text: Charlotte Waller Dahlberg

text: Max Blidberg

text: Hur man överklagar