text: EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING

text: (EU) 2016/679

text: av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning). 2 Lag (

text: ) med kompletterande bestämmelser till EU:s dataskyddsförordning.

text: EDPB:s

text: riktlinjer 4/2019

text: om

text: artikel 25

text: , Inbyggt dataskydd och dataskydd som standard, version 2.0, s. 18 ff.

sprak: sv

nyckelord: Kamerabevakning Arbetsliv

publisher: Integritetsskyddsmyndigheten

sanktionsavgift: 350 000 kronor

slug: raddningstjansten-ostra-skaraborg

title: Räddningstjänsten Östra Skaraborg

org: imy

sammanfattning: IMY beslutar att Räddningstjänsten Östra Skaraborg ska betala en administrativ sanktionsavgift på 350 000 kr.

text: Integritetsskyddsmyndighetens beslut

type: rubrik

text: Integritetsskyddsmyndigheten konstaterar att Direktionen för Räddningstjänsten Östra Skaraborg, med organisationsnummer 222000-1115, sedan den 25 maj 2018 fram till den 6 maj 2021 genom att kamerabevaka i vagnhallen på åtta brandstationer har behandlat personuppgifter i strid med

type: stycke

text: - artikel 5.1 a i dataskyddsförordningen genom att kamerabevaka anställdas plats för ombyte vid larm i strid med principen om korrekthet, - artikel 5.1 c i dataskyddsförordningen genom att behandla fler personuppgifter än vad som har varit nödvändigt för ändamålen i strid med principen om uppgiftsminimering, samt - artikel 32.1 och 32.4 i dataskyddsförordningen eftersom instruktioner från den personuppgiftsansvarige har saknats för hur personuppgifterna har fått användas och kravet på lämpliga organisatoriska åtgärder, för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, därmed inte är uppfyllt.

text: Integritetsskyddsmyndigheten beslutar med stöd av

text: 6 kap. 2 § dataskyddslagen

text: och artiklarna 58.2 och 83 dataskyddsförordningen att Direktionen för Räddningstjänsten Östra Skaraborg ska betala en administrativ sanktionsavgift på 350 000 (trehundrafemtiotusen) kronor, varav 300 000 (trehundratusen) kronor avser överträdelserna av artikel 5.1 a resp. 5.1 c och 50 000 (femtiotusen) kronor avser överträdelserna av artikel 32.1 och artikel 32.4 i dataskyddsförordningen.

text: Redogörelse för tillsynsärendet

text: Integritetsskyddsmyndigheten (IMY) har mottagit klagomål som gör gällande att Direktionen för Räddningstjänsten Östra Skaraborg (Räddningstjänsten) bedriver kamerabevakning i brandstationens vagnhall med plats för ombyte vid larm och har inlett tillsyn mot Räddningstjänsten.

text: Tillsynen har inletts i syfte att granska om Räddningstjänstens personuppgiftsbehandling i form av kamerabevakning har skett i enlighet med principerna om laglighet och korrekthet i artikel 5.1 a i dataskyddsförordningen, principen om uppgiftsminimering i artikel 5.1 c, kravet på laglig grund i artikel 6 och kraven på organisatorisk säkerhet i artikel 32.

text: Vid granskning av personuppgiftsbehandlingen i form av kamerabevakning av vagnhallarna har i huvudsak följande framkommit.

text: Kamerabevakning har sedan mars–april 2015 till den 6 maj 2021 bedrivits på stationerna i Skövde, Mariestad, Hjo, Tibro, Karlsborg, Hova, Gullspång och Töreboda. En kamera har monterats på varje station. Samtliga kameror har varit placerade i vagnhallarna på brandstationerna och har bevakat ett utrymme som används som garage för räddningsfordon. I vagnhallen förvaras även personalens utryckningskläder,

text: larmställ, som snabbt ska kunna tas på inför uttryckning vid larm. För andra typer av ombyten finns särskilda omklädningsrum som inte kamerabevakas.

text: Kamerabevakningen av vagnhallarna har bedrivits dygnet runt i realtid utan bildinspelning. Kamerorna har varit rörligt monterade och har visat ett antal vyer enligt ett förutbestämt rörelsemönster. Kamerorna har även kunnat styras manuellt och har optik som kan zooma.

text: Filmmaterialet har i realtid granskats av inre befäl från ledningscentralen i Skövde när larm har aktiverats på en brandstation. Ledningscentralen som kamerorna är uppkopplade mot bemannas vid larmsituationer. Granskning av vad som fångats av kamerans upptagningsområde har endast skett vid dessa situationer. Ljud har kunnat upptas i realtid efter att det inre befälet har aktiverat en mikrofon för att kunna samtala med den inryckande styrkan. En lampa har lyst i vagnhallen när mikrofonen har varit aktiverad.

text: De kamerabevakade brandstationerna bemannas av personal som är såväl heltidsanställd (Skövde och Mariestad) som deltidsanställd (samtliga granskade stationer). När deltidsanställd personal rycker in ska brandmännen normalt inom fem minuter från att larm går, ombytta ha lämnat brandstationen i ett fordon. Då ska brandmännen ha tagit sig till brandstationen, ofta i privat bil, ha bytt om och ha placerat sig i rätt fordon. Heltidspersonal befinner sig som regel på brandstationen när larm går och byter om från stationsuniform. Brandmännen befinner sig på den bevakade platsen i vagnhallen i cirka en minut.

text: I klagomålet har uppgetts att det har hänt att inryckande personal vid larm mitt i natten har kommit till brandstationen i morgonrock med underkläder eller ingenting alls under, vilket har inneburit att personal har blivit kamerabevakad naken eller endast i underkläder vid ombytet till larmställ. Räddningstjänsten har i yttrande som kommit in den 31 maj 2021 uppgett att det överhuvudtaget inte förekommer att räddningspersonal i beredskap kommer till respektive station vid larm endast klädd i morgonrock med endast underkläder eller inget alls under. I yttrande inkommet den 22 maj 2019 uppges att ingen medarbetare ska vistas i Räddningstjänstens lokaler naken, förutom i omklädningsrum avsedda för detta, då det kan upplevas besvärande och stötande för andra medarbetare. Vidare har uppgetts att larmstället är utformat så att dess funktion upprätthålls oavsett om medarbetaren väljer att klä sig endast i larmställ eller väljer att ha underställ under larmstället. De medarbetare som väljer att inte använda t.ex. underställ kan välja att endast ha underkläder på sig under larmstället och kommer således i sådana fall enbart ha underkläder på sig under en kortare tid vid påklädning och avklädning av larmstället.

text: Vidare har det framkommit att de anställda på en av brandstationerna protesterade mot kamerabevakningen i samband med införandet 2015 genom att täcka för en del av ytan där larmställen hänger med en pappskiva. Räddningstjänsten har i yttrandet som kom in den 22 maj 2019, med komplettering den 28 maj 2019, uppgett att pappskivan togs bort efter samverkan med lokal facklig företrädare efter ett inbrott. Vid samverkan med arbetstagarorganisationer under 2015 framkom synpunkter som bland annat gjorde gällande att kamerabevakning inte borde omfatta plats där ombyte sker, att det vore en fördel att aktivera kameran först vid larm, att det upplevdes kränkande att vara övervakad och att informationen om kamerabevakningen brustit. Inför samverkan i augusti 2015 angavs arbetsgivarens inriktning vara att åtgärder skulle vidtas så att område där personal byter om ej skulle kunna kamerabevakas. Vid samverkansmötet beslutades att se till att varje station skulle anpassas så att

text: kameraövervakning av omklädningsrum inte skulle ske. Räddningstjänsten har uppgett att det sedan augusti 2015 inte har kommit in klagomål mot kamerabevakningen eller att frågan lyfts på samverkan igen.

text: Vad gäller den information om kamerabevakningen som lämnas har Räddningstjänsten uppgett att det nu finns med i checklistan vid introduktion att informera nyanställda om kamerabevakningen, att en skriftlig information har tagits fram för att säkerställa denna information samt att det skyltas i lokalerna om kamerabevakning.

text: Räddningstjänsten har till sitt slutliga yttrande i maj 2021 bifogat ett beslut fattat den 6 maj 2021 där det framgår att den kamerabevakning som granskas ska avslutas med omedelbar verkan. Vidare att behovet av kamerabevakning på nytt ska bedömas efter att IMY fattat beslut i nu aktuellt ärende.

text: Motivering av beslutet

text: Personuppgiftsansvarig

text: Direktionen för Räddningstjänsten Östra Skaraborg uppges vara personuppgiftsansvarig för Räddningstjänstens personuppgiftsbehandling. IMY delar denna uppfattning.

text: Tiden för prövningen

text: Den granskade kamerabevakningen har pågått sedan mars-april 2015 till den 6 maj 2021. Då dataskyddsförordningen började tillämpas först den 25 maj 2018 är IMY:s prövning, som sker utifrån nämnda reglering, begränsad till omständigheter som har förelegat under tiden därefter. Omständigheter i samband med införandet av kamerabevakningen 2015 ligger därmed utanför IMY:s tillsyn.

text: Regler för Räddningstjänstens kamerabevakning

text: Kamerabevakning är en form av personuppgiftsbehandling. Hur och i vilken utsträckning det är tillåtet att kamerabevaka i det aktuella fallet regleras i dataskyddsförordningen och

text: kamerabevakningslagen (2018:1200)

text: som kompletterar dataskyddsförordningen.

text: Kamerabevakningslagen

text: I

text: 4 § kamerabevakningslagen

text: anges att lagen gäller om kamerabevakning enligt 3 § sker med utrustning som finns i Sverige. Av 3 § punkt 1

text: kamerabevakningslagen

text: framgår att kamerabevakning innefattar att en tv-kamera, ett annat optisk-elektroniskt instrument eller en därmed jämförbar utrustning, utan att manövreras på platsen används på ett sådant sätt som innebär varaktig eller regelbundet upprepad personbevakning. Den kamerabevakning som Räddningstjänsten har bedrivit har inte manövrerats på platsen och har inneburit en varaktig bevakning av de anställda samt övriga besökare.

text: Kamerabevakningslagen

text: gäller därför för Räddningstjänstens bevakning.

text: I

text: kamerabevakningslagen

text: finns bestämmelser om när det krävs tillstånd för att kamerabevaka. Av

text: 7 § kamerabevakningslagen

text: följer att tillstånd krävs för bevakning av en plats dit allmänheten har tillträde om bevakningen bedrivs av en myndighet eller någon annan än en myndighet vid utförande av en uppgift av allmänt intresse som

text: följer av lag eller annan författning, kollektivavtal eller beslut som meddelats med stöd av lag eller annan författning.

text: Räddningstjänsten Östra Skaraborg är ett kommunalförbund och därmed en myndighet, och är som utgångspunkt tillståndspliktig vid kamerabevakning. Frågan är då om allmänheten anses ha tillträde till den plats som Räddningstjänsten kamerabevakar. Av praxis framgår att begreppet ”plats dit allmänheten har tillträde” ska tolkas vitt (se Högsta förvaltningsrättens avgörande

text: RÅ 2000 ref. 52

text: ). Många arbetsplatser anses dock vara en plats dit allmänheten inte har tillträde (

text: prop. 2017/18:23

text: Mot bakgrund av vad som framkommit om platsen för bevakningen bedömer IMY att det inte är fråga om en plats dit allmänheten har tillträde. Något krav på att söka tillstånd finns därmed inte. Att kamerabevakningen är tillståndsfri innebär dock inte att bevakningen är tillåten. Utöver bestämmelsen om tillstånd finns andra regler i

text: kamerabevakningslagen

text: , t.ex. om tystnadsplikt avseende det inspelade materialet, förhandlingsskyldighet med arbetstagarorganisationer och krav på upplysning, som kan bli aktuella att följa vid kamerabevakning. Dessutom tillkommer reglerna i dataskyddsförordningen.

text: Dataskyddsförordningen

text: Dataskyddsförordningen ska enligt artikel 2.1 bland annat tillämpas på behandling av personuppgifter på helt automatisk väg. Av artikel 4.1 i dataskyddsförordningen framgår att varje upplysning som avser en identifierad eller identifierbar fysisk person är en personuppgift. Enligt artikel 4.2 avses med behandling en åtgärd beträffande personuppgifter, till exempel insamling, registrering, läsning och radering. Om en bevakningskamera fångar en identifierbar person eller någon annan personuppgift i bild måste därför reglerna i dataskyddsförordningen följas. Eftersom Räddningstjänsten har filmat, och tagit upp ljud från, identifierbara personer med sina kameror gäller dataskyddsförordningen.

text: Dataskyddsförordningen innehåller ett stort antal regler som måste följas vid behandling av personuppgifter. Inom ramen för detta tillsynsärende är IMY:s prövning begränsad till om Räddningstjänsten har en laglig grund enligt artikel 6 i dataskyddsförordningen för att bedriva den aktuella kamerabevakningen, om Räddningstjänsten har levt upp till de grundläggande principerna för behandling av personuppgifter i artikel 5.1 a om laglighet och korrekthet samt i artikel 5.1 c om uppgiftsminimering, samt om Räddningstjänsten har uppfyllt kraven på säkerhet i artikel 32 genom att ha vidtagit lämpliga organisatoriska åtgärder.

text: Är Räddningstjänstens kamerabevakning tillåten enligt dataskyddsförordningen?

text: Laglig grund för behandlingen av personuppgifter (artikel 6)

text: I artikel 6 i dataskyddsförordningen anges att en behandling endast är laglig om minst ett av de angivna villkoren i artikeln är uppfyllt, det vill säga att det finns en laglig grund för behandlingen.

text: Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse, 6.1 e

text: Räddningstjänsten har uppgett att den lagliga grunden för bevakningen är att bevakningen är nödvändig för att utföra en uppgift av allmänt intresse enligt artikel 6.1 e i dataskyddsförordningen.

text: Av förarbetena till lag (

text: ) med kompletterande bestämmelser till EU:s dataskyddsförordning (nedan

text: dataskyddslagen

text: ) framgår följande i

text: prop. 2017/18:105

text: (s. 60).

text: För att behandling av personuppgifter ska vara tillåten enligt artikel 6.1 e i dataskyddsförordningen krävs att ändamålet med behandlingen är nödvändigt för att utföra uppgiften. Detta ska enligt regeringens bedömning inte tolkas som att uppgiften av allmänt intresse måste vara avgränsad så att den bara kan utföras på ett sätt. Den metod som den personuppgiftsansvarige väljer för att utföra sin uppgift måste dock – som all offentlig förvaltning – vara ändamålsenlig, effektiv och proportionerlig och får därmed inte medföra ett onödigt intrång i enskildas privatliv. Ju mer detaljerat en viss uppgift har reglerats, desto mindre utrymme torde det finnas för den personuppgiftsansvarige att välja olika tillvägagångssätt. Detta medför i sin tur en större förutsebarhet i fråga om vilken personuppgiftsbehandling som kan aktualiseras. Om ett uppdrag i stället har reglerats på en mer övergripande och resultatinriktad nivå kan det sannolikt utföras på många olika sätt, vilka i förhållande till varandra kan vara mer eller mindre nödvändiga i dataskyddsförordningens mening.

text: Enligt artikel 6.3 ska behandling med stöd i artikel 6.1 e dessutom fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt.

text: Räddningstjänstens verksamhet regleras nationellt i lag (

text: ) om skydd mot olyckor. Med räddningstjänst avses enligt

text: 1 kap. 2 §

text: de räddningsinsatser som staten eller kommunerna ska ansvara för vid olyckor och överhängande fara för olyckor, för att hindra och begränsa skador på människor, egendom eller miljön. Av

text: 1 kap. 3 §

text: framgår att räddningstjänsten ska planeras och organiseras så att räddningsinsatserna kan påbörjas inom godtagbar tid och genomföras på ett effektivt sätt. Även om närmare bestämmelser för hur Räddningstjänsten ska behandla personuppgifter saknas, behöver regleringen vara tillräckligt specifik för att kunna läggas till grund för bedömningen av laglig grund i artikel 6 i dataskyddsförordningen. Att lagstiftningen är övergripande kan ge en större möjlighet för Räddningstjänsten att välja hur deras uppdrag ska genomföras än om regleringen hade varit mer specifik.

text: Räddningstjänsten har anfört att de ändamål som har fastställts för bevakningen är följande.

text: - Att underlätta ledningsförmåga och effektivitet under en räddningsinsats - Att underlätta närvarokontroll av brandmännen som rycker in efter larm - Att underlätta fordonsval - Att göra det möjligt att säkerställa att styrkeledaren mår bra och kan hantera uppgiften - Att säkra skalskyddet samt - Att bedöma korrektheten av eventuellt larm kopplat till nyckelskåpen på stationerna

text: IMY bedömer att ändamålen kan delas in i två kategorier. De inledande fyra ändamålen avser att möjliggöra arbetsledning och effektivitet vid en larmsituation. De två sistnämnda ändamålen rör fysisk säkerhet på brandstationen.

text: Räddningstjänsten har uppgett att kamerabevakningen på samtliga brandstationer utom på Tibro station med automatik även har skett av utrymmet där uttryckningskläderna förvaras. Det innebär att på övriga brandstationer har bevakningen omfattat den plats där personalen byter om till larmställ. Orsaken till att kameran på Tibro station inte har bevakat plats för ombyte vid larm är en felprogrammering som har inneburit att kamerans rörelsemönster inte har täckt platsen för ombyte, om kameran inte manuellt har styrts för att bevaka denna. Enligt Räddningstjänsten har dock avsikten varit att åtgärda detta så att även kamerabevakningen på Tibro station skulle omfatta plats för ombyte. Jämfört med de stationer där plats för ombyte har bevakats, har Räddningstjänsten uppgett att det på Tibro station har varit sämre förutsättningar för ledningsförmågan och effektiviteten vid utryckning. Det har varit svårare att säkerställa närvarokontroll och att säkerställa att styrkeledaren mår bra vid larm. Genom kamerabevakningen kan ändamålen med bevakningen som rör larmsituationen uppnås samtidigt som personalen gör sig iordning för att åka på larm, det vill säga arbetssättet är kostnads- och utförandeeffektivt.

text: IMY:s bedömning – laglig grund

text: IMY konstaterar att den kamerabevakning Räddningstjänsten bedriver avser bevakning av anställda på deras arbetsplats där personalen måste befinna sig under arbetstid. De registrerade befinner sig i en beroendeställning och bevakas i sin vardagliga miljö. Bevakningen har inneburit dygnetruntbevakning i realtid och upptagningsområdet har även innefattat plats för ombyte. Det förekommer uppgifter om att det har hänt att anställda av effektivitetsskäl under ombytet har vistats på ombytesplatsen helt utan kläder, vilket dock har tillbakavisats av Räddningstjänsten. Såväl omfattningen på bevakningen som vad som fångas av kamerorna har ökat intrånget för den enskilde.

text: Kamerabevakningen, som bland annat har omfattat de anställda i underkläder, innebär att Räddningstjänsten har kamerabevakat de anställda i integritetskänsliga situationer. Behandlingen har däremot inte omfattat särskilda kategorier av personuppgifter, så kallade känsliga personuppgifter, enligt artikel 9 i dataskyddsförordningen. Den nationella lagstiftningen som enligt artikel 6.3 ska fastställa den lagliga grunden behöver därför inte vara mer preciserad än i lag om skydd mot olyckor, utan kan vara allmänt hållen.

text: Mot bakgrund av ovanstående och med hänsyn till Räddningstjänstens särskilda uppdrag och krav på effektivitet gör IMY bedömningen att behandlingen varit nödvändig för att utföra en uppgift av allmänt intresse och att Räddningstjänsten har haft laglig grund enligt artikel 6.1 e i dataskyddsförordningen för den aktuella behandlingen.

text: Frågan blir då om den aktuella behandlingen har levt upp till vissa av de grundläggande principerna för behandling av personuppgifter i artikel 5.

text: Grundläggande principer för behandling av personuppgifter (artikel 5)

text: I artikel 5 i dataskyddsförordningen finns ett antal grundläggande principer som den personuppgiftsansvarige måste beakta vid behandlingen av personuppgifter.

text: Av artikel 5.1 a följer bland annat att all personuppgiftsbehandling, utöver att vara laglig, också måste vara korrekt (principerna om laglighet och korrekthet). Av artikel 5.1 c följer att personuppgifter som behandlas ska vara adekvata, relevanta och inte

text: för omfattande i förhållande till de ändamål för vilka de behandlas (principen om uppgiftsminimering).

text: Avslutningsvis följer av artikel 5.2 att den personuppgiftsansvarige ska ansvara för och kunna visa att de principer som följer av artikel 5.1 efterlevs (principen om ansvarsskyldighet).

text: Principerna om laglighet och korrekthet (artikel 5.1 a)

text: Att behandlingen ska vara laglig innebär det ska finnas en laglig grund i artikel 6. IMY har ovan bedömt att Räddningstjänsten uppfyller kravet på laglig grund i artikel 6.1 e, uppgift av allmänt intresse. Behandlingen bedöms därför vara förenlig med principen om laglighet i artikel 5.1 a.

text: Vad gäller att behandlingen ska vara korrekt framgår följande av förarbetena till

text: dataskyddslagen

text: prop. 2017/18:105 s. 47

text: Såvitt avser principen om korrekthet kan det vid en jämförelse med andra språkversioner ifrågasättas om den svenska termen korrekt motsvarar avsikten med bestämmelsen. I den danska språkversionen anges i stället att uppgifterna ska behandlas rimeligt. På motsvarande sätt används i den engelska språkversionen termen fairly, vilket betyder rättvist, skäligt eller rimligt. I den franska språkversionen

text: används termen loyale, vilken har motsvarande betydelse som

text: engelskans fairly. I den tyska språkversionen används uttrycket Treu und Glauben, vilket brukar översättas med god tro eller tro och heder. Alla dessa termer indikerar enligt regeringens mening, tydligare än den svenska termen korrekt, att en intresseavvägning ska göras. I det enskilda fallet kan det således t.ex. vara oförenligt med principen om korrekthet att vidta en viss behandlingsåtgärd, även om denna i och för sig skulle kunna anses vara lagligt grundad enligt artikel 6, nämligen om behandlingen är oskälig i förhållande till den registrerade.

text: Lagstiftaren har här uttalat att även om en laglig grund föreligger, bör det vid en bedömning av om behandlingen lever upp till principen om korrekthet ändå göras en intresseavvägning för att fastställa om behandlingen är oskälig i förhållande till den registrerade, i det här fallet de anställda.

text: Räddningstjänsten har i yttrandet som kom in den 22 maj 2019 uppgett att det inte finns några andra, mindre integritetskränkande lösningar för att göra samma sak utan att räddningsinsatsen påverkas negativt. Man har dock även uppgett att det inte är nödvändigt att kamerabevakning sker dygnet runt för att bedriva räddningstjänst, utan att det endast behöver ske vid larm till aktuell station. Vidare har Räddningstjänsten uppgett att kamerorna tekniskt är uppkopplade mot applikationen de visas i dygnet runt.

text: Till den intresseavvägning som lagstiftaren menar ska göras vid en prövning av principen om korrekthet saknas närmare vägledning. Europeiska dataskyddsstyrelsen, EDPB, har dock i EU-riktlinjer om inbyggt dataskydd och dataskydd som standard angett att bland annat följande omständigheter ska vägas in vid prövningen av om principen om korrekthet efterlevs. Där anges till exempel att behandlingen ska överensstämma med de registrerades rimliga förväntningar. Vidare att maktbalans bör

text: vara ett centralt mål för förhållandet mellan den personuppgiftsansvarige och den registrerade. Den personuppgiftsansvarige måste också respektera de registrerades grundläggande rättigheter och vidta lämpliga åtgärder och skyddsåtgärder. Den personuppgiftsansvarige ska även se till behandlingens påverkan på den enskildes rättigheter och värdighet.

text: IMY:s bedömning - principen om korrekthet

text: Gällande den intresseavvägning som ska göras gör IMY följande bedömning av de olika intressena.

text: IMY konstaterar inledningsvis att Räddningstjänsten genom lagen om skydd mot olyckor har ett krav på sin verksamhet att den ska bedrivas effektivt avseende både tid och utförande, för att vid olyckor och fara för olyckor hindra och begränsa skador på människor, egendom eller miljö.

text: Räddningstjänsten har uppgett att man bland annat har en beredskap för människor som hamnar i sjönöd och andra livshotande situationer, giftiga ämnen som släpps ut i naturen, trafikolyckor, bränder som uppstår i byggnader och terräng samt människor och egendom som hotas av extrem väderlek. Det är inte sällan liv står i fara vid de händelser Räddningstjänsten larmas ut på och då kan såväl sekunder som minuter göra skillnad.

text: Syftet med Räddningstjänstens kamerabevakning som nu granskas beskrivs utförligt ovan och kan sammanfattas till att möjliggöra arbetsledning och effektivitet vid larm respektive att säkerställa den fysiska säkerheten på brandstationen. Räddningstjänsten har uppgett att det inte finns andra mindre integritetskänsliga sätt att uppnå samma effektivitet. På Tibro brandstation, där bevakning av plats för ombyte inte har skett automatiskt, uppges förutsättningarna för ledningsförmågan och effektiviteten vid utryckning ha varit sämre jämfört med på övriga stationer. Personalen uppehåller sig inte på stationen mer än den tid då de tar på sig larmställ, vilket innebär att om kommunikation med dem ska ske utan att räddningsinsatsen fördröjs, måste den pågå samtidigt som ombyte sker.

text: IMY bedömer sammantaget att Räddningstjänstens behov av kamerabevakning på platsen väger tungt, särskilt vid larm.

text: Ett av ändamålen med bevakningen är närvarokontroll av brandmännen som rycker in efter larm. IMY konstaterar att kamerabevakning för att utföra närvarokontroll på en arbetsplats i princip är otillåten. I nu aktuellt fall har bevakningsintresset bedömts väga tungt, särskilt vid larm. IMY gör bedömningen att Räddningstjänstens bevakning är ett sådant fall där kamerabevakning som närvarokontroll kan anses vara tillåtet. Vid den bedömningen har särskilt beaktats det krav på effektivitet vid larm som åligger Räddningstjänsten, där sekunder och minuter kan göra skillnad för liv och hälsa.

text: Vad gäller de registrerades intressen kan konstateras att platserna som kamerabevakas är arbetsplatser där de anställda, som är i beroendeförhållande till sin arbetsgivare, måste befinna sig under sin arbetstid. I vagnhallen vistas de anställda både vid larm men även vid utförandet av andra arbetsuppgifter. Platsens karaktär innebär att de anställda befinner sig där i sin vardagliga miljö och inte kan välja bort att bli kamerabevakade. Integritetsintresset väger därför som utgångspunkt tungt.

text: När det gäller avlyssning och upptagning av ljud i samband med kamerabevakning är detta särskilt integritetskänsligt och är endast undantagsvis tillåtet. Som integritetshöjande åtgärd tänds dock en lampa när mikrofonen som möjliggör muntlig kommunikation mellan ledningscentralen och vagnhallen är aktiverad. IMY konstaterar att ljudavlyssningen således är begränsad till situationer som kräver kommunikation och att mikrofonen har använts i skarpa situationer vid larm, då behovet att bevaka väger särskilt tungt. Vidare är ljudet som avlyssnas huvudsakligen ett samtal med de som bevakas. Att personalen är del i samtalet i kombination med lampaktivering gör att de är medvetna om att avlyssning sker. Åtgärden minskar intrånget något vad gäller avlyssning och upptagning av ljud. IMY gör därför bedömningen att ljudupptagningen vid larm som den har bedrivits är tillåten.

text: Vidare framgår att bevakningsområdet även omfattar plats för ombyte vid påtagning och avklädning av larmställ, där kamerabevakningen vid larm under en kort stund har fångat de anställda i underställ eller underkläder när de byter om till uttryckningskläder. Om personalen i några fall har övervakats helt utan kläder har inte kunnat klargöras i ärendet. Räddningstjänsten menar att de anställda är extremt vana vid att hantera integritetskänsliga situationer både i sin tjänsteutövning vid räddningsinsatser gentemot tredje man, men också vid stationsarbetet och internt i organisationen då det sker ombyten inför varandra vid varje larmsituation, men också vid regelbunden övning och utbildning. Räddningstjänsten anser att det inre befäl som har tillgång till realtidsbevakningen har ett ledningsansvar oavsett om det sker i det fysiska rummet eller via teknisk utrustning, för bästa möjliga ledning. Enligt Räddningstjänstens bedömning ryms ombytet inför kollegor och befäl väl i ett proportionalitetsperspektiv.

text: IMY bedömer att integritetsintresset på platsen där ombyte sker är väsentligt mer framträdande än i övriga vagnhallen. Det ska dock vägas in att lösningen med ombyte till larmställ i vagnhallen och kamerabevakningen av denna bedöms vara nödvändig för verksamhetens effektivitet, vilket minskar intrånget något. IMY gör dock sammantaget bedömningen att integritetsintresset på platsen sammantaget väger mycket tungt, så som bevakningen har bedrivits. Det gäller även om personalen i ombytessituationen har underställ eller underkläder på sig.

text: I bedömningen av de två sidorna i intresseavvägningen har IMY därmed bedömt att behovet av bevakningen väger tungt, särskilt vid larm, och att det registrerades, de anställdas, intressen vad gäller kamerabevakning av platsen för ombyte väger mycket tungt.

text: Vid en avvägning mellan Räddningstjänstens behov och de anställdas intressen gör IMY vidare följande bedömning. Vad gäller om de registrerade kan förvänta sig den aktuella kamerabevakningen har Räddningstjänsten uppgett att man i nuläget har informerat om bevakningen på flera sätt, bland annat genom skyltar i lokalerna. Däremot har det framkommit att det saknas riktlinjer för i vilka situationer den behöriga personalen har haft rätt till tillgång till realtidsbevakningen, vilket kan innebära att de anställda har haft svårt att bedöma i vilken omfattning materialet har använts. I fråga om maktbalansen mellan Räddningstjänsten och de anställda har det konstaterats att de anställda är i beroendeförhållande till sin arbetsgivare, vilket innebär att maktbalansen är ojämn.

text: Då bevakningen av ombyten omfattar integritetskänslig information, ställs högre krav än annars på skyddsåtgärder för att minska integritetsintrånget. IMY menar att det är nödvändigt med integritetshöjande åtgärder, exempelvis en delvis avskärmning av platsen för ombyte. Räddningstjänsten har som integritetshöjande åtgärder angett att

text: det utöver att en lampa tänts vid aktiverad mikrofon endast gått att höra ljudet från vagnhallen i ett headset i ledningscentralen samt att det råder tillträdesbegräsning till ledningscentralen. Vad gäller att till exempel maskera eller avgränsa delar av platsen för ombyte för att minimera insamlingen av dessa uppgifter, har någon sådan åtgärd inte framkommit under IMY:s granskning.

text: Angående att maskera platsen för ombyte, har Räddningstjänsten i yttrande den 22 maj 2019, anfört följande (s.7).

text: Mot bakgrund av att de flesta stationer har larmställen hängande i

text: vagnhallen försvann syftet med kamerorna om dessa ytor helt

text: skärmades av, det vill säga vagnhallen skulle inte ses i kamerorna.

text: Av bilder från kamerabevakningen som Räddningstjänsten har skickat in i yttrande den 16 januari 2019, synes det dock enligt IMY:s mening stå klart att det utan större svårighet bör gå att delvis avgränsa upptagningen av platsen för ombyte från respektive kamera, så att inte mer än till exempel huvuden fångas av bevakningen. Det kan till exempel antingen ske genom en maskering på de kameravyer som visar platsen för ombyte eller genom en fysisk skärm i respektive vagnhall.

text: När det gäller kamerabevakningens påverkan på de anställdas rättigheter och värdighet, konstaterarar IMY att det inte har framkommit att det har gått att undvika att bli kamerabevakad under ombytet till larmställ. Att ha kamerabevakats när ombyte sker vid larm, har kunnat innebära att de anställda upprepat har vistats i underkläderna kortvariga stunder på det bevakade området. Vid en objektiv bedömning kan det anses gå utöver vad som är en korrekt behandling från en arbetsgivares sida.

text: IMY konstaterar sammantaget att Räddningstjänstens ändamål är berättigade. Räddningstjänstens intresse av bevakningen har bedömts väga tungt, särskilt vid larm. De registrerades intressen har dock bedömts väga mycket tungt, i synnerhet vad gäller plats för ombyte till larmställ, som har kamerabevakats utan maskering eller avgränsning. Även när hänsyn har tagits till de särskilda omständigheter och krav på effektivitet som råder vid Räddningstjänstens insatser, konstaterar IMY att de anställdas intressen väger tyngre i frågan om platsen för ombyte vid larm och att bevakningen i denna situation, så som den har genomförs, är oskälig i förhållande till de anställda. Bevakningen av ombytessituationen vid larm utan avgränsning har därför skett i strid med principen om korrekthet i artikel 5.1 a i dataskyddsförordningen.

text: Principen om uppgiftsminimering (artikel 5.1 c)

text: Av artikel 5.1 c i dataskyddsförordningen framgår att personuppgifter som behandlas ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas, vilket utgör principen om uppgiftsminimering.

text: Den kamerabevakning som nu granskas har bedrivits dygnet runt i realtid i vagnhallen på åtta brandstationer och har omfattat plats för ombyte utan någon maskering eller avgränsning. Inre befäl vid ledningscentralen har granskat kamerabevakningen vid larm.

text: Räddningstjänsten har uppgett att det inte är nödvändigt att kamerabevaka vagnhallen dygnet runt, utan att det endast behöver ske vid larm till aktuell station. Kamerorna har dock varit uppkopplade mot den tekniska lösningen där kamerabilden visas dygnet runt.

text: Vad gäller bevakningen av plats för ombyte har Räddningstjänsten uppgett att det inte finns andra mindre integritetskänsliga sätt att uppnå samma effektivitet. Bevakningen av platsen för ombyte är nödvändig då personalen inte uppehåller sig på stationen mer än den tid då de tar på sig larmställ. Det innebär att kommunikationen med dem måste ske samtidigt som de byter om, för att räddningsinsatsen inte ska fördröjas.

text: IMY:s bedömning – principen om uppgiftsminimering

text: IMY har ovan konstaterat att bevakning av anställda som byter om innebär behandling av integritetskänslig information som går utöver vad de enskilda ska behöva acceptera. Bevakningen av brandstationerna har omfattat anställda, som befinner sig i beroendeförhållande till sin arbetsgivare. Det ställer särskilda krav på arbetsgivaren att vidta åtgärder för att minska integritetsintrånget för de anställda. Någon anpassning av bevakningen har inte genomförts, utöver åtkomstbegränsning, och plats för ombyte har kamerabevakats utan maskering eller avgränsning. Bevakningen har pågått dygnet runt i realtid, trots att den har uppgetts vara nödvändig endast vid larm.

text: IMY konstaterar mot denna bakgrund att Räddningstjänstens kamerabevakning har inneburit en alltför omfattande behandling av personuppgifter i förhållande till ändamålen. Behandlingen har därmed skett i strid med principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen.

text: Räddningstjänstens ändamål som har avsett den fysiska säkerheten på brandstationerna, det vill säga att säkra skalskydd och att bedöma korrektheten av larm kopplat till nyckelskåpen på stationerna har enligt Räddningstjänsten inte innefattat att förebygga och utreda brott. IMY konstaterar att ändamålen är berättigade, men att kamerabevakning dygnet runt är alltför långtgående för angivna syften. Nämnda ändamål bör kunna uppnås med mindre långtgående åtgärder, till exempel genom en annan lösning för inpassering eller en aktiverad bevakning vid larm från nyckelskåpet.

text: Även denna behandling har därmed skett i strid med principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen.

text: Säkerhet i samband med behandlingen (artikel 32)

text: Vad gäller Räddningstjänstens säkerhet i samband med kamerabevakningen har IMY granskat den organisatoriska säkerheten vad gäller behörighetsstyrning och riktlinjer för hanteringen av bevakningsmaterialet.

text: I artikel 32 i dataskyddsförordningen regleras säkerhet i samband med behandlingen.

text: Enligt punkt 1 ska den personuppgiftsansvarige och personuppgiftsbiträdet bland annat med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken.

text: Enligt punkt 2 ska vid bedömningen av lämplig säkerhetsnivå särskild hänsyn tas till de risker som behandlingen medför, i synnerhet för oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats.

text: Av punkt 4 framgår att den personuppgiftsansvarige och personuppgiftsbiträdet ska vidta åtgärder för att säkerställa att varje fysisk person som utför arbete under den personuppgiftsansvariges eller personuppgiftsbiträdets överinseende, och som får tillgång till personuppgifter, endast behandlar dessa på instruktion från den personuppgiftsansvarige.

text: Av skäl 39 till dataskyddsförordningen framgår bland annat att personuppgifter bör behandlas på ett sätt som säkerställer lämplig säkerhet och konfidentialitet för personuppgifterna samt förhindrar obehörigt tillträde till och obehörig användning av personuppgifter och den utrustning som används för behandlingen.

text: Räddningstjänsten har uppgett att 29 personer har haft tillgång till ledningscentralen där kamerabevakningen vid larm har tagits upp till helskärmsvy, varav 6 inre befäl som har sin arbetsplats i ledningscentralen, 16 andra befäl och chefer som har uppgifter i ledningscentralen vid larm eller stabsarbete samt 7 drifttekniker för underhåll av lokaler och teknik. Alla medarbetare vistas inte där samtidigt, utan den medarbetare som har tagit del av kameramaterialet är tjänstgörande inre befäl vid larm. Samtliga medarbetare som har tillträde till ledningscentralen har dock haft möjlighet att se kamerabilden och vad som pågår på en brandstation i realtid. I de fall insatsen är komplicerad eller flera parallella insatser pågår kan flera inre befäl eller andra ledningsfunktioner finnas i ledningscentralen samtidigt och har då kunnat se kamerabilden.

text: Räddningstjänsten har uppgett att det inte har funnits några riktlinjer för när en behörig person har fått titta på kamerabilden. Arbetssättet har dock varit att kamerabilden manuellt tas upp i helskärmsvy vid larm på aktuell station.

text: IMY:s bedömning – säkerhet för behandlingen

text: När det gäller vilka som har tillgång till bildmaterialet från kamerabevakningen konstaterar IMY att Räddningstjänsten har angett att ett antal personer har tillträde till den lokal där kamerabevakningen visas i realtid, ledningscentralen. Även om det inte står klart hur den helskärmsvy som visar kamerabevakningen är avgränsad, konstaterar IMY att det vid olika tidpunkter och situationer kan finnas behov av att flera personer har tillgång till realtidsbevakningen vid larm, så som Räddningstjänsten har beskrivit hanteringen. Verksamheten pågår också dygnet runt, vilket innebär att fler än annars behöver ha tillgång till materialet. IMY finner därför att det kan vara befogat att ett större antal medarbetare har behörighet att få tillgång till uppgifter från kamerabevakningen. Det är dock centralt att den personuppgiftsansvarige då har organisatoriska åtgärder på plats för att säkerställa säkerheten för uppgifterna. Bland annat behövs tydliga riktlinjer för vem som ska få tillgång till materialet, under vilka förutsättningar och om behörigheten är omgärdad av särskilda begränsningar för hanteringen av bildmaterialet.

text: IMY konstaterar att en personuppgiftsansvarig enligt artikel 32.1 ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken. Vid bedömningen av lämplig säkerhetsnivå ska särskild hänsyn tas till de risker som behandlingen medför, bland annat för obehörig åtkomst till de personuppgifter som behandlats. Den personuppgiftsansvarige ska enligt artikel 32.4 i dataskyddsförordningen också vidta åtgärder för att säkerställa att en fysisk person endast behandlar personuppgifter enligt instruktion från den personuppgiftsansvarige.

text: Ju känsligare information som behandlas, desto högre krav ställs på säkerheten för att den ska anses vara lämplig i förhållande till den behandling som bedrivs. Att riktlinjer har saknats för när och hur kamerabevakningen får användas kan innebära att de som har hanterat kamerabevakningen har gått utöver vad som är nödvändigt och därmed tillåtet. Det innebär också att det kan råda en osäkerhet för de som har kamerabevakats, gällande i vilka situationer kamerabevakningen har använts och huruvida den har begränsats till situationer där bevakningen har varit nödvändig.

text: Så som bevakningen har bedrivits har den innefattat systematisk bevakning av anställda och integritetskänslig behandling av personuppgifter vad gäller bevakningen av anställda som byter om. Kraven på säkerheten höjs därmed för att den ska anses ha en lämplig nivå. Då riktlinjer uppges ha saknats helt, konstaterar IMY att Räddningstjänsten har brustit i kravet på att säkerställa att personuppgifter endast hanteras enligt instruktion från den personuppgiftsansvarige och att kravet på lämpliga organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken därmed inte är uppfyllt. IMY konstaterar därför att Räddningstjänsten har behandlat personuppgifter i strid med artikel 32.1 och 32.4 i dataskyddsförordningen.

text: Val av ingripande

text: Rättslig reglering

text: Om det har skett en överträdelse av dataskyddsförordningen har IMY ett antal korrigerande befogenheter att tillgå enligt artikel 58.2 i dataskyddsförordningen. Tillsynsmyndigheten kan bland annat förelägga den personuppgiftsansvarige att se till att behandlingen sker i enlighet med förordningen och om så krävs på ett specifikt sätt och inom en specifik period.

text: Av artikel 58.2 i dataskyddsförordningen följer att IMY i enlighet med artikel 83 ska påföra sanktionsavgifter utöver eller i stället för andra korrigerande åtgärder som avses i artikel 58.2, beroende på omständigheterna i varje enskilt fall.

text: För myndigheter får enligt artikel 83.7 i dataskyddsförordningen nationella regler ange att myndigheter kan påföras administrativa sanktionsavgifter. Enligt

text: 6 kap. 2 § dataskyddslagen

text: kan sanktionsavgifter beslutas för myndigheter, men till högst 5 000 000 kronor alternativt 10 000 000 kronor beroende på om överträdelsen avser artiklar som omfattas av artikel 83.4 eller 83.5 i dataskyddsförordningen.

text: I artikel 83.2 anges de faktorer som ska beaktas för att bestämma om en administrativ sanktionsavgift ska påföras, men också vad som ska påverka sanktionsavgiftens storlek. Av central betydelse för bedömningen av överträdelsens allvar är dess karaktär, svårighetsgrad och varaktighet. Om det är fråga om en mindre överträdelse får tillsynsmyndigheten, enligt skäl 148 i dataskyddsförordningen, utfärda en reprimand i stället för att påföra en sanktionsavgift.

text: Sanktionsavgift

text: Den tillsyn IMY har gjort har visat att Räddningstjänsten har behandlat personuppgifter i strid med artikel 5.1 a och 5.1 c samt artikel 32.1 och 4 i dataskyddsförordningen.

text: Vid bedömningen av om överträdelserna är så allvarliga att en administrativ sanktionsavgift ska påföras har IMY beaktat att personuppgiftsbehandlingen har avsett kamerabevakning av anställda i beroendeställning, i deras vardagliga miljö som har innefattat integritetskänsliga situationer. Bevakningen har skett systematiskt under

text: lång tid. Bevakningen har inneburit att fler uppgifter än nödvändigt har behandlats då den dels har skett dygnet runt i realtid, trots att behov endast föreligger vid larm, och dels utan att någon maskering eller avgränsning har skett av den yta där de anställda byter om. Omfattningen på bevakningen har varit relativt stor då den har skett dygnet runt i realtid i vagnhallen på åtta brandstationer, vilket innebär att ett inte obetydligt antal registrerade har berörts. Det har vidare inte framkommit att Räddningstjänsten, under tiden kamerabevakningen har pågått, utöver en lampa som indikerar aktiverad mikrofon samt vissa åtkomstbegränsningar, har vidtagit några åtgärder för att minska intrånget för de anställda. IMY:s bedömning är att behandlingen inte har inneburit en mindre överträdelse. Överträdelserna ska därför leda till en administrativ sanktionsavgift.

text: De bestämmelser i dataskyddsförordningen som Räddningstjänsten har överträtt omfattas såväl av artikel 83.4 i dataskyddsförordningen, som artikel 83.5. Det maximala beloppet för sanktionsavgiften är enligt artikel 83.4 och 83.5 samt 6 kap.

text: 2 § andra stycket dataskyddslagen

text: 5 miljoner kronor avseende överträdelserna av artikel 32 och 10 miljoner kronor avseende överträdelserna av artikel 5.

text: Den administrativa sanktionsavgiften ska vara effektiv, proportionerlig och avskräckande. Det innebär att beloppet ska bestämmas så att den administrativa sanktionsavgiften leder till rättelse, att den ger en preventiv effekt och att den dessutom är proportionerlig i förhållande till såväl aktuella överträdelser som till tillsynsobjektets betalningsförmåga.

text: Vid fastställandet av ett belopp som är effektivt, proportionerligt och avskräckande kan IMY konstatera att Räddningstjänsten har kamerabevakat anställda som är i beroendeförhållande till sin arbetsgivare, i en integritetskänslig situation vid ombyte till larmställ, vilket har inneburit att de systematiskt har filmats i underkläder eller underställ på sin arbetsplats. Bevakningen har pågått dygnet runt i realtid trots att behov endast har förelegat vid larm. Räddningstjänsten har i dessa avseenden inte vidtagit nödvändiga åtgärder för att begränsa insamlandet av uppgifter. Bevakningen har skett systematiskt under lång tid och omfattat åtta brandstationer. Det har varit frågan om ett förhållandevis stort antal personer i ledningscentralen som har kunnat ta del av bevakningen. Även om dessa har varit behöriga att ta del av bevakningen har det helt saknats riktlinjer och instruktioner för i vilka situationer behöriga personer har haft rätt till tillgång till kamerabevakningen. Dessa omständigheter ses som försvårande.

text: IMY har vid bedömningen tagit hänsyn till Räddningstjänstens tungt vägande behov av kamerabevakningen och det krav på effektivitet som åligger Räddningstjänsten, liksom det samhällsviktiga uppdraget att vid olyckor och fara för olyckor hindra och begränsa skador på människor, egendom eller miljö där sekunder och minuter kan vara avgörande. Hänsyn har vidare tagits till att nu gällande regler började tillämpas först i maj 2018. Prövningen har därmed begränsats till tid därefter. Det har även framkommit att kamerabevakningen nu har upphört. Att beslut i ärendet har dragit ut på tiden ligger inte Räddningstjänsten till last vid bedömningen av överträdelserna.

text: Efter en samlad bedömning finner IMY att Direktionen för Räddningstjänsten Östra Skaraborg ska betala en administrativ sanktionsavgift på 350 000 kronor, varav 300 000 kr avser överträdelserna av artikel 5.1 a respektive 5.1 c och 50 000 kr avser överträdelserna av artikel 32.1 och artikel 32.4 i dataskyddsförordningen.

text: Detta beslut har fattats av generaldirektören Lena Lindgren Schelin efter föredragning av juristen Jenny Bård. Vid den slutliga handläggningen har även enhetschefen Charlotte Waller Dahlberg samt juristen Jeanette Bladh Gustafson medverkat. Under handläggningen har även rättschefen David Törngren deltagit.

text: Lena Lindgren Schelin, 2021-06-09 (Det här är en elektronisk signatur)

text: Bilaga

text: Kopia till

text: Direktionen för Räddningstjänsten Östra Skaraborgs dataskyddsombud: dataskyddsombud@skovde.se

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Integritetsskyddsmyndigheten senast tre veckor från den dag beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder Integritetsskyddsmyndigheten det vidare till Förvaltningsrätten i Stockholm för prövning.


titel: Beslut

nyckelord: Kreditupplysning Brottsbekämpning

slug: nusvar-ab

title: Nusvar AB

sammanfattning: Vårt beslut överklagades till förvaltningsrätten och sedan till kammarrätten som avslog Nusvars överklagande, mål nr 4738-20.

text: Datainspektionens beslut

text: Datainspektionen konstaterar att Nusvar AB (org. nr 556991-1224) under perioden december 2018 – 8 april 2019 har bedrivit kreditupplysningsverksamhet och därvid har 1. överträtt artikel 10 dataskyddsförordningen och

text: 6 § andra stycket kreditupplysningslagen

text: genom att behandla uppgifter om lagöverträdelser utan Datainspektionens medgivande, 2. överträtt artikel 5 dataskyddsförordningen genom att behandla personuppgifter som är för omfattande, inadekvata och irrelevanta i förhållande till ändamålet (kreditupplysningsändamål), 3. handlat i strid med

text: 9 § kreditupplysningslagen

text: genom att inte efterleva kravet på legitimt behov när kreditupplysning lämnats ut om fysisk person som inte är näringsidkare, och 4. handlat i strid med

text: 11 § kreditupplysningslagen

text: genom att inte sända den omfrågade en kreditupplysningskopia när en kreditupplysning lämnas ut om en fysisk person.

text: Datainspektionen beslutar med stöd av

text: 6 kap. 3 § dataskyddslagen

text: och artiklarna 58.2 och 83 i dataskyddsförordningen att Nusvar AB ska betala en administrativ sanktionsavgift på 35 000 EUR.

text: Redogörelse för tillsynsärendet

text: Datainspektionen har genom klagomål från allmänheten uppmärksammat att Nusvar AB (Bolaget) lämnat ut personuppgifter rörande bland annat ekonomisk information om alla Sveriges invånare som är 16 år och äldre via Bolagets webbplats www.mrkoll.se (webbplatsen). Webbplatsen omfattas av ett sådant utgivningsbevis som regleras i

text: 1 kap.

text: 7 §§

text: yttrandefrihetsgrundlagen (1991:1469)

text: Datainspektionen har inlett tillsyn mot Bolaget i syfte att utreda i vad mån Bolaget via webbplatsen bedriver verksamhet som är att betrakta som kreditupplysningsverksamhet och, om så är fallet, i vad mån Bolaget efterlevt dataskyddsförordningens och

text: kreditupplysningslagens

text: förbud mot behandling av uppgifter om lagöverträdelser som innefattar brott och dataskyddsförordningens krav på uppgiftsminimering samt

text: kreditupplysningslagens

text: krav på legitimt behov och kreditupplysningskopia.

text: Tillsynsärendet inleddes med en tillsynsskrivelse den 18 december 2018. Svar på tillsynsskrivelsen kom in den 30 december 2018. Datainspektionen

text: genomförde en inspektion på plats hos Bolaget den 9 april 2019. Protokoll från inspektionen har upprättats och översänts till Bolaget för synpunkter. Yttrande över protokoll kom in den 5 maj 2019. En kompletterande skrivelse från Bolaget kom in den 29 maj 2019.

text: Vad som framkommit i ärendet

text: Webbplatsen är en kommersiell näringsverksamhet som huvudsakligen bedrivs på grundval av annonsintäkter. Syftet med Webbplatsen är att tillgängliggöra offentlig information om privatpersoner av allmänintresse, såsom exempelvis personnummer, bostadssituation, fordonsinnehav, rättsinformation samt viss annan information som inte är offentlig, exempelvis telefonnummer. Användaren loggar in på webbplatsen och kan ta del av den publicerade informationen gratis.

text: Det har under utredningen framkommit att Bolaget får information till Webbplatsen från ett drygt tiotal olika leverantörer, bland annat Bolagsverket och kreditupplysningsföretaget Yellow-Belly Decision Systems AB (Yellow-Belly). Verksamheten startade genom att Bolaget tog emot ett så kallat baslyft avseende grunddata från kreditupplysningsföretaget Yellow- Belly under november 2018. Yellow-Belly lyfte då ut en folkbokföringsdatabas, vilken omfattade personnummer och adresser. Bolaget hämtade sedan dess in uppdaterad information från Yellow-Belly var 14:e dag avseende personnummer, adresser, bolagsinformation och klusterinformation, såsom aggregerad områdesinformation och aggregerad ekonomisk information. Den ekonomiska information som aggregeras består av inkomstuppgifter och betalningsanmärkningar.

text: Samtlig information sammanställs av Bolaget. Viss information är klusterinformation, med vilket avses information om ca 22 till 2 000 personer som klumpas ihop. Klustersammanställningarna utgår från var den av användaren eftersökta personen bor. Den ekonomiska klusterinformationen består av runt 22-28 personer. Därefter tolkar Bolaget informationen och skapar begripliga texter utifrån dessa data som finns tillgängliga på webbplatsen. Informationen presenteras på webbplatsen i olika ”block”.

text: Särskilt om blocket Sammanfattning

text: I blocket ”sammanfattning” sammanställs viss information från de övriga blocken. Av den ekonomiska klusterinformationen framgår exempelvis uppgift om betalningsanmärkningar. Om det inom klustret finns fler betalningsanmärkningar än noll, framgår det att det finns

text: betalningsanmärkningar i det aktuella området. Det lämnas då ingen individuell information om den eftersökte personen. Om det inte finns några betalningsanmärkningar inom klustret, dvs. om ingen av de 22-28 personer som ingår i den eftersökta personens kluster har någon betalningsanmärkning, anges uttryckligen att den eftersökta personen saknar betalningsanmärkningar, ”X har inga betalningsanmärkningar”.

text: Vidare framgår av blocket ”Sammanfattning” hur ofta personen i fråga är eftersökt på Webbplatsen. Detta är information som Bolaget själv tar fram baserat på hur många gånger personen har eftersökts och visats på Webbplatsen under månaden. Information om antalet sökningar på Webbplatsen innebär inte att någon har betalat för att få ta del av information om personen i fråga. Informationen om antalet sökningar nollställs vid varje månadsskifte.

text: Särskilt om blocket Åtal, domar och rättsprocesser

text: Bolaget sammanställer informationen, vilken kommer från domstolarna (tingsrätterna, hovrätterna, Högsta domstolen samt förvaltningsrätterna i förekommande fall beroende på vad det är för karaktär på målet). För det fall en eftersökt person har åtalats för något eller några brott framkommer detta på Webbplatsen i det aktuella blocket genom att det om den eftersökta personen står exempelvis ”X har varit åtalad vid en domstol i ett rättsfall som avsett brottmål” (denna information presenteras även i blocket ”Sammanfattning”).

text: Användare av Webbplatsen kan ta del av själva domen direkt på Webbplatsen genom att betala 99 kronor till Bolaget. När betalningen genomförts visas en sammanfattning av de aktuella domarna inklusive domslutet direkt på Webbplatsen i det aktuella blocket. Bolaget gör inte egna sammanfattningar av domarna, utan dessa levereras av domstolarna. Användare som har betalat för att få ta del av domarna har tillgång till dessa under 24 timmar på Webbplatsen.

text: Särskilt om blocket Ekonomi

text: Bolaget sammanställer den ekonomiska informationen. Denna bygger på klusterinformation som Yellow-Belly har levererat och de aggregeringar som Yellow-Belly har gjort och det är så informationen under rubrikerna ”De flesta tjänar”, ”En granne (eller personen själv) tjänar” och ”Löneindikatorn” tas fram.

text: Klusterinformationen består av runt 22-28 personer som väljs utifrån den eftersökta personens adress som sedan klumpas ihop. Informationen i löneindikatorn bygger på en jämförelse av hela landets medianlön med medianlönen i det aktuella klustret.

text: Under rubriken ”Inkomst aktuellt år” finns de sex raderna ”Antal betalningsanmärkningar”, ”Inkomst av tjänst”, ”Beskattningsbar inkomst”, ”Inkomst av kapital”, ”Aktiv näringsverksamhet” och ”Passiv näringsverksamhet”. Dessa rader är, med ett undantag, inte ifyllda så länge den enskilde användaren inte köper en kreditupplysning för 49 kronor. Undantaget är raden ”Antal betalningsanmärkningar” i det fall då ingen person i den eftersökta personens kluster har någon betalningsanmärkning, dvs. i samma situation som det står ”X har inga betalningsanmärkningar” i blocket ”Sammanfattning”. I dessa fall kommer det i raden för ”Antal betalningsanmärkningar” stå att den eftersökte har ”0 st”. Om någon i klustret har en betalningsanmärkning lämnas fältet tomt. Dessa sex rader omfattas av Bolagets utgivningsbevis. Det är således Bolaget som ansvarar för dessa sex rader. Innehållet i, och ansvaret för, informationen i de sex raderna ändras dock om användaren väljer att köpa en kreditupplysning för 49 kronor av Yellow-Belly, se nedan.

text: Särskilt om blocket Boende och grannar

text: Bolaget sammanställer information om boende och grannar, vilken kommer från Lantmäteriet. Information om uppskattat värde av eventuell bostadsrätt eller fastighet bygger på en algoritm som Bolaget har tagit fram som baseras på mäklarstatistik.

text: Särskilt om blocket Popularitet

text: Bolaget sammanställer informationen. Detta är samma information som har utvecklats under blocket ”Sammanfattning” ovan. I detta block framgår det även hur eftersökt personen är under rubriken ”Topplacering” och vilka andra personer som också har eftersökts på Webbplatsen under rubriken ”Besöks också”. Informationen i detta block nollställs vid varje månadsskifte.

text: Särskilt om blocket Om grannskapet

text: Bolaget sammanställer informationen, vilken främst är en upprepning av övrig information på Webbplatsen och bygger främst på aggregerad information. I detta block framgår även medelåldern bland grannarna till den eftersökta personen och medelinkomsten i grannskapet.

text: Övriga block som framgår av webbplatsen:  Telefonnummer  Folkbokföring  Bolagsengagemang  Fordonsinnehav  Personkopplingar  Födelsedag  Stjärntecken  Äktenskap  Hushållet

text: Bolagets uppgifter rörande kravet på legitimt behov och kreditupplysningskopia

text: Bolaget anser inte att Bolaget bedriver kreditupplysningsverksamhet genom att tillhandahålla webbplatsen. Bolaget behöver därför inte beakta bestämmelserna om legitimt behov och kreditupplysningskopia. Kreditupplysningsverksamhet bedrivs endast när användaren via webbplatsen köper en fullständig kreditupplysning om den eftersökte för 49 kronor. Denna kreditupplysningsverksamhet bedrivs av Yellow-Belly. Bolaget är endast Yellow-Bellys återförsäljare.

text: Bolagets uppgifter om verksamheten som återförsäljare av Yellow- Bellys kreditupplysningar

text: Bolaget uppger att Bolaget är återförsäljare av Yellow-Bellys kreditupplysningsprodukt på webbplatsen. En kreditupplysning kostar 49 kronor. Den köpta kreditupplysningsinformationen visas direkt på MrKolls webbplats i blocket ”Ekonomi” genom att uppgifterna fylls i under rubrikerna ”Inkomst aktuellt år” och de nu tillkommande rubrikerna ”Skulder och betalningsanmärkningar” och ”Konkurs”. Under rubriken ”Inkomst aktuellt år” finns i detta läge raden ”Antal betalningsanmärkningar” inte med.

text: Under rubriken ”Skulder och betalningsanmärkningar” finns åtta rader avseende traditionell kreditupplysningsinformation. Under rubriken ”Konkurs” finns en rad som anger om den efterfrågade är i personlig konkurs eller inte.

text: Informationen som publiceras när användaren köper en kreditupplysning för 49 kronor finns inte i Bolagets databas för Webbplatsen. Det är Yellow-Belly som fyller i fälten på Webbplatsen när användaren beställer en kreditupplysning för 49 kronor. För användare som är inne på webbplatsen utan att ha beställt någon kreditupplysning från Yellow-Belly är dessa fält maskerade. Yellow-Belly skickar en kreditupplysningskopia till den eftersökte och ansvarar för att användaren har ett legitimt behov.

text: Bolagets syn på definition av kreditupplysningsverksamhet och utgivningsbevisets omfattning

text: Bolaget anser att informationen att den eftersökte personen person inte har några betalningsanmärkningar, (X har inga betalningsanmärkningar), i blocket ”Sammanfattning” inte utgör kreditupplysningsinformation eftersom det är klusterbaserad information som baseras på att inte någon person i den eftersöktes kluster har någon betalningsanmärkning.

text: Bolaget anser att informationen i blocket ”Ekonomi”, att den eftersökte personen har ”Antal betalningsanmärkningar 0 st”, inte utgör kreditupplysningsinformation eftersom det är klusterbaserad information som baseras på att inte någon person i den eftersöktes kluster har någon betalningsanmärkning.

text: Bolaget anser att informationen om uppskattat värde av eventuell fastighet i blocket ”Boende och grannar”, inte utgör kreditupplysningsinformation då den bygger på mäklarstatistik.

text: Bolaget anser att informationen under rubriken ”Löneindikator” inte utgör kreditupplysningsinformation. Denna information säger inte något om den eftersökta personen i sig då det inte finns någon information på individnivå.

text: Webbplatsen omfattas i sin helhet av utgivningsbeviset. Det är endast Bolaget som kan ändra innehållet på Webbplatsen.

text: Vad gäller blocket ”Ekonomi” är dock situationen speciell. Blocket ”Ekonomi” omfattas i sin helhet av utgivningsbeviset så länge raderna under rubrikerna ”Inkomst aktuellt år”, ”Skulder och betalningsanmärkningar” och ”Konkurs” inte är ifyllda. Dessa rader är, med ett undantag, maskerade så länge den enskilde användaren inte köper en kreditupplysning för 49 kronor. Undantaget är den av Bolaget självt ifyllda uppgiften ”Antal

text: betalningsanmärkningar 0 st” under rubriken ”Inkomst aktuellt år”. Denna uppgift är således en del av Webbplatsen och omfattas av utgivningsbeviset.

text: Om en användare köper en kreditupplysning för 49 kronor ändras situationen. Den köpta kreditupplysningsinformationen fylls då i av Yellow– Belly och visas direkt i blocket ”Ekonomi” under rubrikerna ”Inkomst aktuellt år”, ”Skulder och betalningsanmärkningar” och ”Konkurs”. Raden ”Antal betalningsanmärkningar 0 st” finns i detta läge inte med. Bolaget anser därför att informationen under rubrikerna ”Inkomst aktuellt år”, ”Skulder och betalningsanmärkningar” och ”Konkurs” i blocket ”Ekonomi” i detta läge ska betraktas som en utlyft och därmed avskild del av Webbplatsen. Denna utlyfta del omfattas inte av Bolagets utgivningsbevis utan utgör då en omodererad del av Webbplatsen som Yellow-Belly ansvarar för.

text: Vad gäller blocket ”Åtal, domar och rättsprocesser” så är detta en del av webbplatsen som omfattas av Bolagets utgivningsbevis oavsett om användaren inhämtar en dom för 99 kronor eller inte. Bolaget anser att det är skillnad på blocket som avser ”Åtal, domar och rättsprocesser” och blocket ”Ekonomi” eftersom informationen som framgår i blocket ”Åtal, domar och rättsprocesser” inte är maskerad, utan i stället ofullständig fram till dess att en användare av Webbplatsen betalar 99 kronor för att ta del av den.

text: Bolaget avslutade sitt samarbete med Yellow-Belly, den 8 april 2019 då avtalsförhållandet sades upp med omedelbar verkan. Återförsäljningen av kreditupplysningar upphörde därmed omedelbart. Bolaget sålde i egenskap av Yellow-Bellys återförsäljare ca 700 stycken kreditupplysningar under mars månad. I slutet av maj släppte Bolaget en ny version av webbplatsen. I den nya utgåvan har informationen om betalningsanmärkningar uteslutits. Nu lämnas i stället endast en mycket grov information som redogör för den ekonomiska situationen för området i stort (omfattning i form av postnummer utanför städerna, och stadsdelsområdet i städerna).

text: Motivering av beslutet

text: Datainspektionens ställningstagande i detta beslut avser Nusvars verksamhet på webbplatsen MrKoll under tidsperioden från och med december 2018 till och med den 8 april 2019. Bolaget hämtade under perioden in ekonomisk information från Yellow-Belly och publicerade uppgifter om att enskilda personer saknar betalningsanmärkningar. Webbplatsen har under denna

text: tidsperiod vid flera tillfällen ändrats layoutmässigt. Personuppgiftsbehandlingen har dock varit densamma i aktuella delar.

text: Nusvars verksamhet på webbplatsen Mrkoll omfattas av ett s.k. frivilligt utgivningsbevis enligt

text: 1 kap. 5 § yttrandefrihetsgrundlagen

text: . Det innebär att

text: yttrandefrihetsgrundlagens

text: föreskrifter om sändningar av program tillämpas när information tillhandahålls allmänheten via Mrkoll.

text: Av delegationsbestämmelsen i

text: 1 kap. 18 § yttrandefrihetsgrundlagen

text: följer att det som anges i delegationsbestämmelsen i

text: 1 kap. 12 § 5 tryckfrihetsförordningen (1949:105)

text: om att det i lag får meddelas föreskrifter om yrkesmässig kreditupplysningsverksamhet också gäller i fråga om program.

text: Av detta följer att det går att meddela föreskrifter i lag om kreditupplysningsverksamhet som bedrivs via webbplatser som omfattas av utgivningsbevis. En sådan lagstiftning har genomförts genom

text: kreditupplysningslagen (1973:1173)

text: Kreditupplysningsverksamhet

text: Datainspektionen är tillsynsmyndighet enligt

text: kreditupplysningslagen (1973:1173)

text: och

text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (dataskyddsförordningen), GDPR.

text: Enligt

text: 1 § kreditupplysningslagen

text: gäller lagen kreditupplysningsverksamhet som innebär att någon, utom i enstaka fall, lämnar kreditupplysningar mot ersättning eller som ett led i näringsverksamhet. Lagen gäller också annan kreditupplysningsverksamhet, om den är av större omfattning.

text: Av

text: 2 § första stycket första meningen kreditupplysningslagen

text: framgår att med kreditupplysning avses uppgifter, omdömen eller råd som lämnas till ledning för bedömning av någon annans kreditvärdighet eller vederhäftighet i övrigt i ekonomiskt hänseende.

text: I förarbetena till kreditupplysningslag (

text: prop. 1973:155 s. 139

text: ) behandlas frågan när viss information ska anses som kreditupplysning:

text: ”Karakteristiskt för kreditupplysning är vidare att informationen lämnas för visst ändamål. Det skall vara fråga om information som är avsedd att tjäna till ledning för bedömning av någons kreditvärdighet eller vederhäftighet i övrigt i ekonomiskt hänseende. Information som typiskt sett har ett helt annat ändamål omfattas inte av begreppet kreditupplysning, även om uppgifter av ekonomisk art ingår i informationen. Hit hör t.ex. uppgifter i personaltester som utförs för att pröva en persons lämplighet för viss anställning. Informationen i en kreditupplysning är givetvis framför allt inriktad på ekonomiska förhållanden. Ofta ingår dock uppgifter om mer personliga omständigheter. Någon skarp gräns mellan de båda informationstyperna kan inte dras och är inte heller erforderlig. Informationens art saknar i och för sig betydelse för bestämningen av begreppet kreditupplysning. Det avgörande är om den är ägnad att tjäna till ledning vid bedömningen av kreditvärdighet o.d.”

text: Bedömningen av om Bolagets spridning av uppgifter utgör kreditupplysnings-

text: verksamhet

text: Av utredningen framgår att det uttalade syftet med webbplatsen är att tillgängliggöra offentlig information om privatpersoner av allmänintresse. Den information som lämnas gratis på webbplatsen har inget uttalat kreditupplysningsändamål. Informationen lämnas dock ut i direkt anslutning till en renodlad kreditupplysningstjänst som drivs av Yellow- Belly. Många användare av webbplatsen kan därför antas uppsöka webbplatsen i syfte att införskaffa information till ledning för bedömning av den eftersöktes kreditvärdighet eller vederhäftighet i övrigt i ekonomiskt hänseende. För det fall den information som Bolaget på eget personuppgiftsansvar publicerar på webbplatsen är tillräcklig för att ligga till grund för en kreditbedömning av den eftersökte, utan att användaren behöver beställa en kreditupplysning av Yellow-Belly för 49 kronor, bedriver Bolaget kreditupplysningsverksamhet i

text: kreditupplysningslagens

text: mening.

text: Uppgift om i vad mån en enskild person har en betalningsanmärkning eller inte är ett exempel på en uppgift som typiskt sett kan användas för att göra en kreditbedömning av den eftersökte. En uppgift om att den eftersökte saknar betalningsanmärkningar kan exempelvis vara tillräcklig information om den enskildes ekonomi för att denne ska tillåtas beställa en vara mot faktura i en nätbutik eller godkännas som medlem i en bostadsrättsförening. En användare som besöker webbplatsen i syfte att göra en kreditbedömning av den eftersökte och som inte behöver mer information om den eftersöktes ekonomi än så kan avstå från att beställa en fullständig kreditupplysning från Yellow-Belly.

text: Bolaget publicerar information om att den eftersökte saknar betalningsanmärkningar genom att i blocket ”Sammanfattning” ange att ”X har inga betalningsanmärkningar” och i blocket ”Ekonomi” ange ”Antal betalningsanmärkningar 0 st”.

text: Den omständigheten att denna information inte kan lämnas om alla enskilda personer som saknar betalningsanmärkningar – utan bara om enskilda personer som saknar betalningsanmärkningar, som ingår i ett kluster om 22- 28 personer som även de saknar betalningsanmärkningar – saknar i det här fallet betydelse. Den som tar del av informationen på webbplatsen får ett entydigt konstaterande av att betalningsanmärkningar saknas för den som eftersöks i de fall sådan uppgift finns. Den utgör därmed ett konstaterande som rör enskilds ekonomiska förhållanden, ägnat att tjäna till ledning för bedömningen av dennes kreditvärdighet. Datainspektionen konstaterar att Bolaget därigenom under perioden december 2018 – april 2019 har bedrivit kreditupplysningsverksamhet genom den publicering Bolaget självt ansvarar för på webbplatsen.

text: Datainspektionen konstaterar att utlämnandet av kreditupplysningsinformation inte har skett i enstaka fall, utan sker som ett led i näringsverksamhet och är av större omfattning. En sådan verksamhet omfattas av

text: kreditupplysningslagens

text: regelverk.

text: Av

text: 4 § första stycket kreditupplysningslagen

text: framgår att kreditupplysningsverksamhet får bedrivas endast efter tillstånd av Datainspektionen. Enligt 4 § fjärde stycket den lagen behövs dock inte tillstånd för kreditupplysningsverksamhet, i den mån den bedrivs genom offentliggörande av kreditupplysning på ett sådant sätt som avses i

text: tryckfrihetsförordningen

text: eller

text: yttrandefrihetsgrundlagen

text: . Webbplatsen omfattas av ett sådant utgivningsbevis som regleras i

text: 1 kap.

text: 7 §§

text: yttrandefrihetsgrundlagen

text: . Datainspektionen konstaterar att Bolaget därmed har rätt att bedriva kreditupplysningsverksamhet utan tillstånd. Datainspektionen konstaterar samtidigt att Bolaget har att följa övriga tillämpliga bestämmelser i

text: kreditupplysningslagen

text: och tillämpliga bestämmelser i dataskyddsförordningen.

text: Om den eftersökte ingår i ett kluster där en eller flera av de övriga enskilda personerna har en betalningsanmärkning får användaren gå vidare genom att beställa en kreditupplysning av Yellow-Belly för 49 kronor.

text: Datainspektionen finner inte anledning att ifrågasätta Bolagets påstående att Bolaget endast är återförsäljare av Yellow-Bellys kreditupplysningar när en användare köper en fullständig kreditupplysning via webbplatsen för 49 kronor.

text: Utan att närmare ta ställning i sakfrågan i aktuellt ärende, eftersom frågan saknar betydelse för frågan om Bolaget bedriver kreditupplysningsverksamhet eller inte, finner Datainspektionen inte heller anledning att ifrågasätta Bolagets påstående att informationen under rubrikerna ”Inkomst aktuellt år”, ”Skulder och betalningsanmärkningar” och ”Konkurs” i blocket ”Ekonomi” ska betraktas som en utlyft och därmed avskild del av Webbplatsen som inte omfattas av Bolagets utgivningsbevis, i det läge när användaren betalar 49 kronor och tar del av en sådan fullständig kreditupplysning som Yellow-Belly ansvarar för.

text: Uppgifter om lagöverträdelser

text: Artikel 10 i dataskyddsförordningen innehåller begränsningar för behandling av uppgifter om lagöverträdelser. Sådana uppgifter får endast behandlas av myndigheter eller om behandlingen är tillåten enligt unionsrätt eller nationell rätt.

text: Kreditupplysningslagen

text: innehåller, i den del den avser behandling av personuppgifter, bestämmelser som kompletterar dataskyddsförordningen. Av

text: 6 § kreditupplysningslagen

text: andra stycket

text: följer att uppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden inte får behandlas i kreditupplysningsverksamhet utan medgivande av Datainspektionen.

text: I blocken ”Sammanfattning” och ”Åtal, domar och rättsprocesser” anges om den eftersökte har varit åtalad vid domstol i ett eller flera ärenden som avser brottmål. Om användaren vill ta del av domarna från de ärenden där den eftersökte varit åtalad kan användaren gå vidare genom att betala 99 kr. Domslutet och en sammanfattning av de aktuella domarna visas då direkt på Webbplatsen i blocket ”Åtal, domar och rättsprocesser”.

text: Datainspektionen anser att redan uppgiften ”X har varit åtalad vid en domstol i ett rättsfall som avsett brottmål” utgör en uppgift om lagöverträdelse i

text: 6 § andra stycket kreditupplysningslagens

text: mening. Till detta kommer att användaren kan välja att inhämta och ta del av själva domslutet direkt på Webbplatsen i det aktuella blocket.

text: Datainspektionen konstaterar att Bolaget i strid med artikel 10 i dataskyddsförordningen och

text: behandlar uppgifter om lagöverträdelser för kreditupplysningsändamål utan Datainspektionens medgivande.

text: Kravet på uppgiftsminimering

text: I

text: 5 § första stycket kreditupplysningslagen

text: anges att kreditupplysningsverksamhet ska bedrivas så att den inte leder till otillbörligt intrång i personlig integritet genom innehållet i de upplysningar som förmedlas eller på annat sätt eller till att oriktiga eller missvisande uppgifter lagras eller lämnas ut. För sådan behandling av personuppgifter som omfattas av dataskyddsförordningen gäller i stället

text: artikel 5 i den förordningen

text: Enligt

text: artikel 5.1 c

text: dataskyddsförordningen ska personuppgifter som behandlas vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (uppgiftsminimering).

text: Av dessa regler följer att det i kreditupplysningsverksamhet inte ska behandlas andra uppgifter än sådana som är adekvata och relevanta för bedömningen av någons kreditvärdighet. Det ska inte heller behandlas fler uppgifter än nödvändigt för att bedöma den eftersöktes kreditvärdighet. Vid bedömningen av vilka uppgifter som får behandlas är utgångspunkten att så få uppgifter som möjligt ska behandlas. Vid urvalet ska prioriteras sådana uppgifter som ensamma eller tillsammans med ett fåtal andra uppgifter kan ge den nödvändiga kunskap som behövs för att bedöma den eftersöktes kreditvärdighet.

text: Då webbplatsen innefattar kreditupplysningsverksamhet ska de uppgifter som finns publicerade på webbplatsen bedömas vad gäller adekvans, relevans och omfattning utifrån ett kreditupplysningsändamål.

text: Flera av de kategorier uppgifter som publiceras på webbplatsen är adekvata och relevanta för kreditupplysningsändamål, exempelvis adressuppgifter och civilstånd.

text: Datainspektionen anser dock att personuppgifter om fordonsinnehav, uppskattat värde av bostadsrätt eller fastighet, telefonnummer, stjärntecken, popularitet eller grannars namn och ålder inte är nödvändiga, adekvata och relevanta för bedömning av någons kreditvärdighet.

text: Vad gäller uppgift om fordonsinnehav har sådana uppgifter i praxis inte ansetts innebära en sådan kvalitetsförbättring i kreditupplysningsverksamhet att de bör tillåtas (Länsrättens i Stockholms län dom 15 juni 2001, Målnr Ö 4128-99). Vad gäller uppskattat värde av bostadsrätt eller fastighet så saknar dessa uppgifter adekvans och relevans för kreditupplysningsändamål eftersom uppgiften endast avser Bolagets egna uppskattningar av värde som dessutom inte kombineras med uppgift om ägarförhållande och bakomliggande belåning. Uppgift om telefonnummer, stjärntecken och popularitet är irrelevanta för ett kreditupplysningsändamål.

text: Datainspektionen konstaterar därför att Bolaget överträtt

text: artikel 5.1 c

text: dataskyddsförordningen genom att behandla personuppgifter som inte är adekvata, relevanta och alltför omfattande i förhållande till ett kreditupplysningsändamål.

text: Krav på legitimt behov och kreditupplysningskopia

text: Den som begär en personupplysning, d.v.s. en kreditupplysning om en privatperson, ska enligt

text: 9 § första stycket kreditupplysningslagen

text: ha ett s.k. legitimt behov av den. Det innebär att denne ska ha ingått ett kreditavtal eller vara på väg att ingå ett kreditavtal med den omfrågade eller att denne i övrigt har anledning att göra en ekonomisk riskbedömning beträffande den omfrågade.

text: Varje gång ett kreditupplysningsföretag lämnar ut en kreditupplysning om en fysisk person ska denne enligt

text: 11 § kreditupplysningslagen

text: samtidigt och kostnadsfritt få ett skriftligt meddelande om de uppgifter, omdömen och råd som upplysningen innehåller, en s.k. kreditupplysningskopia.

text: Datainspektionen konstaterar att Bolaget inte har uppfyllt sina skyldigheter enligt bestämmelserna i

text: och

text: 11 §§

text: kreditupplysningslagen

text: i kreditupplysningsverksamheten.

text: Val av korrigerande åtgärder

text: Datainspektionen har konstaterat att Bolaget har bedrivit kreditupplysningsverksamhet via webbplatsen MrKoll genom att behandla uppgifter om betalningsanmärkningar och därigenom,  i kreditupplysningsverksamheten behandlat personuppgifter om lagöverträdelser i strid med artikel 10 i dataskyddsförordningen och 6 §

text: andra stycket

text: kreditupplysningslagen

text: genom att utan Datainspektionens medgivande dels ange att den eftersökte varit åtalad i brottmål, dels publicera domar mot betalning,  behandlat personuppgifter i strid med principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen genom att behandla flera kategorier av uppgifter som inte är adekvata och relevanta och alltför omfattande för kreditupplysningsändamål och  handlat i strid med bestämmelserna i

text: och

text: 11 §§

text: kreditupplysningslagen

text: genom att inte beakta kraven på legitimt behov och kreditupplysningskopia.

text: Möjliga ingripandeåtgärder

text: Om den som har rätt att bedriva kreditupplysningsverksamhet åsidosätter en bestämmelse i

text: kreditupplysningslagen

text: får Datainspektionen enligt

text: 17 § kreditupplysningslagen

text: förelägga denne att vidta rättelse eller meddela ett nytt villkor. Om den som bedriver kreditupplysningsverksamhet inte fullgör vad som åligger honom enligt

text: 11 §

text: får Datainspektionen enligt

text: 22 §

text: förelägga vite.

text: I

text: 15 § kreditupplysningslagen

text: anges att vid tillsyn över sådan behandling av personuppgifter som omfattas av dataskyddsförordningen gäller Datainspektionens befogenheter enligt

text: 17 § kreditupplysningslagen

text: utöver de befogenheter som Datainspektionen har enligt artikel

text: . dataskyddsförordningen.

text: I artikel 58 i dataskyddsförordningen anges samtliga befogenheter som Datainspektionen har enligt dataskyddsförordningen. Enligt

text: artikel 58.2

text: (a– h, j) har Datainspektionen ett antal korrigerande befogenheter att tillgå, bl. a. varningar, reprimander eller begränsningar av behandling.

text: Enligt

text: artikel 58.2

text: (i) i dataskyddsförordningen framgår att tillsynsmyndigheten ska påföra administrativa sanktionsavgifter i enlighet med

text: artikel 83

text: . Enligt

text: artikel 83.2

text: ska administrativa sanktionsavgifter, beroende på omständigheterna i det enskilda fallet, påföras utöver eller i stället för de åtgärder som avses i artikel 58.2

text: a

text: h

text: och

text: j

text: . Vidare framgår av

text: artikel 83.2

text: vilka faktorer som ska beaktas vid beslut om administrativa sanktionsavgifter ska påföras och vid bestämmande av avgiftens storlek.

text: I stället för sanktionsavgifter får i vissa fall enligt skäl 148 till dataskyddsförordningen en reprimand utfärdas i stället för sanktionsavgifter om det är frågan om en mindre överträdelse. Hänsyn ska tas till omständigheter såsom överträdelsens karaktär, svårighetsgrad och varaktighet.

text: Sanktionsavgifter ska påföras

text: Datainspektionen har ovan konstaterat att Nusvar bedriver kreditupplysningsverksamhet och bedömt att Bolaget i de aktuella behandlingarna av personuppgifter har överträtt

text: artikel 5

text: och

text: artikel 10

text: dataskyddsförordningen. Dessa artiklar omfattas av

text: artikel 83.5

text: , som innebär att ett högre sanktionsbelopp ska påföras.

text: De personuppgiftsbehandlingar som denna tillsyn omfattar har inneburit behandling av personuppgifter om folkbokförda personer i Sverige som är 16 år eller äldre, drygt åtta miljoner. Uppgift om betalningsanmärkning framgår i alla de fall där enskilda utifrån klusterinformation om 22–28 närboende konstaterats inte ha någon betalningsanmärkning. Uppgift om lagöverträdelse har behandlats i de fall den registrerade varit föremål för åtal i brottmål. Det är därmed inte frågan om en mindre överträdelse. Det finns således inte skäl att ersätta sanktionsavgiften med en reprimand.

text: Någon annan korrigerande åtgärd är inte heller aktuell för den behandling som skett. Bolaget ska därför påföras administrativa sanktionsavgifter.

text: Omständigheter av betydelse för att fastställa sanktionsavgiftens storlek

text: Generella bestämmelser

text: Enligt artikel 83.1 i dataskyddsförordningen ska varje tillsynsmyndighet säkerställa att påförandet av administrativa sanktionsavgifter i varje enskilt fall är effektivt, proportionellt och avskräckande.

text: Den administrativa sanktionsavgiften får enligt

text: artikel 83.3

text: inte överstiga beloppet för den grövsta överträdelsen om det är frågan om en eller samma uppgiftsbehandlingar eller sammankopplade uppgiftsbehandlingar.

text: Överträdelser av artikel

text: och

text: omfattas av

text: artikel 83.5

text: . Sanktionsbeloppet får därför inte överstiga 20 miljoner EUR eller 4 % av den totala globala årsomsättningen under föregående budgetår, beroende på vilket värde som är högst.

text: Bolaget startade verksamheten under 2018 och hade enbart en redovisad omsättning för årets sista månad. Bolagets omsättning 2018 uppgick enligt Bolagets årsredovisning till 399 092 kronor.

text: I

text: artikel 83

text: . 2 i dataskyddsförordningen anges samtliga faktorer som ska beaktas vid bestämmande av sanktionsavgiftens storlek. Vid bedömningen av storleken på sanktionsavgift ska bl. a. hänsyn tas till a) överträdelsens karaktär, svårighetsgrad och varaktighet, b) uppsåt eller oaktsamhet, g) kategorier av personuppgifter, h) hur överträdelsen kom till Datainspektionens kännedom och k) annan försvårande eller förmildrande faktor, till exempel direkt eller indirekt ekonomisk vinst.

text: Omständigheterna i det aktuella fallet

text: Vid Datainspektionens bedömning av sanktionsavgift har hänsyn tagits till att uppgifter har samlats in om samtliga svenska medborgare över 16 år, drygt åtta miljoner medborgare, som har legat öppet på nätet fritt tillgängliga för allmänhet och intressenter. Publicering av uppgifter på webbplatsen utgör Bolagets kärnverksamhet och behandlingarna har skett i vinstsyfte. Dessa omständigheter är försvårande.

text: Därutöver beaktas det förhållandet att uppgift om betalningsanmärkningar får tillhandahållas i kreditupplysningsverksamhet, men inte uppgift om lagöverträdelser. Det förhållandet att dessa uppgifter tillhandahålls gemensamt riskerar leda till negativa effekter och till ett omfattande intrång i enskildas personliga integritet.

text: Hänsyn har också tagits till att behandlingen har kommit till Datainspektionens kännedom via en mängd klagomål från allmänheten.

text: Datainspektionen konstaterar samtidigt att kreditupplysningsuppgifter har publicerats under ca fem månader, och därefter har upphört.

text: Under den tidsperiod uppgifterna varit publicerade har den potentiella spridningseffekten varit omfattande. Webbplatsen kommer exempelvis högt upp bland sökträffarna på andra större sökmotorer och spridningen, samt möjligheten att få tillgång till uppgifterna har därmed varit stor.

text: När det gäller frågan om överträdelserna har skett med uppsåt eller genom oaktsamhet finns det inget i utredningen som visar annat är att

text: behandlingen, som bland att bestått i öppen publicering av uppgiften om betalningsanmärkning och uppgifter om lagöverträdelser, skett avsiktligt.

text: Bestämmande av sanktionsbeloppets storlek

text: Sanktionsbeloppet kan, som redan sagts, högst fastställas till 20 miljoner EUR. Sanktionsbeloppet ska vara effektivt, proportionellt och avskräckande.

text: Datainspektionen konstaterar att Bolaget är nystartat och att Bolagets senaste årsredovisning bara omfattar en (december 2018) av de fem månader som kreditupplysningstjänsten vid www.mrkoll.se funnits tillgänglig. Det är därför inte möjligt att lägga denna till grund för bestämmandet av sanktionsavgiftens storlek.

text: Bolaget har inte närmare preciserat sin omsättning för 2019. En utgångspunkt tas därför i att bolagets månatliga omsättning i vart fall motsvarar den för december 2018 omräknat för helåret 2018, 4,8 mkr.

text: Datainspektionen bestämmer utifrån en samlad bedömning att bolaget ska betala en administrativ sanktionsavgift om 35 000 EUR.

text: Datainspektionen anser inte att det finns anledning att vidta någon ytterligare åtgärd med anledning av att Bolaget inte efterlevt bestämmelserna i

text: 5 § första stycket första meningen

text: och

text: och

text: 11 §§

text: kreditupplysningslagen

text: om legitimt behov och kreditupplysningskopia eftersom Bolagets kreditupplysningsverksamhet numera upphört.

text: Detta beslut har fattats av generaldirektören Lena Lindgren Schelin efter föredragning av avdelningsdirektören Hans Kärnlöf. Vid den slutliga handläggningen har chefsjuristen Hans-Olof Lindblom och enhetschefen Catharina Fernquist medverkat.

text: Lena Lindgren Schelin, 2019-12-13 (Det här är en elektronisk signatur)

text: Bilagor Bilaga 1 – Hur man betalar sanktionsavgift

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till Datainspektionen. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Datainspektionen senast tre veckor från den dag beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder Datainspektionen det vidare till Förvaltningsrätten i Stockholm för prövning. Även Justitiekanslern får, såvitt det avser tillämpning av

text: kreditupplysningslagen

text: , överklaga beslutet för att tillvarata allmänna intressen. Tiden för överklagande för Justitiekanslern räknas dock från den dag beslutet meddelades.

text: Ni kan e-posta överklagandet till Datainspektionen om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.

text: Kopia till: Justitiekanslern