text: Artikel 29 – Arbetsgruppen för uppgiftsskydd,

text: rev.01; Riktlinjer om anmälan av personuppgiftsincidenter enligt förordning

text: (EU) 2016/679

text: ; antagna den 3 oktober 2017; senast granskade och antagna den 6 februari 2018; antagna av EDPB under det första plenarsammanträdet den 25 maj 2018; s. 11–12. Arbetsgruppen inrättades enligt

text: artikel 29 i direktiv 95/46/EG

text: och var ett oberoende rådgivande EU-organ i frågor rörande dataskydd och integritet.

text: , rev01, s. 28.

sprak: sv

titel: Beslut

nyckelord:
Dataskydd
Informationssäkerhet
Dina rättigheter
Myndighet

publisher: Integritetsskyddsmyndigheten

sanktionsavgift: 200 000 kronor

slug: statens-servicecenter

title: Statens servicecenter

org: imy

sammanfattning: Vi har granskat behandlingen av personuppgifter och fattat ett beslut.

text: och de korrigerande åtgärder som vidtagits och därmed överträtt artikel 33.5 i dataskyddsförordningen.

type: stycke

text: Datainspektionen beslutar med stöd av

text: 6 kap. 2 § dataskyddslagen

text: och artiklarna 58.2 och 83 i dataskyddsförordningen att Statens servicecenter ska betala en administrativ sanktionsavgift om 50 000 kronor för överträdelsen av artikel 33.1 i dataskyddsförordningen, det vill säga för underlåtenheten att anmäla personuppgiftsincidenten till Datainspektionen inom 72 timmar efter att ha fått vetskap om den.

text: Datainspektionen beslutar att med stöd av artikel 58.1 d i dataskyddsförordningen förelägga Statens servicecenter att: 1. Upprätta rutiner för dokumentation av personuppgiftsincidenter som gör det möjligt för Datainspektionen att kontrollera efterlevnaden av artikel 33 i dataskyddsförordningen. Rutinerna ska svara mot kraven i artikel 33.5 i dataskyddsförordningen, som föreskriver att den personuppgiftsansvarige ska dokumentera alla personuppgiftsincidenter, inbegripet omständigheterna kring personuppgiftsincidenten, dess effekter och de korrigerande åtgärder som vidtagits, och därefter 2. löpande kontrollera och se till att rutinerna följs.

text: Datainspektionen konstaterar att Statens servicecenter som personuppgiftsbiträde respektive personuppgiftsansvarig vid inspektionstillfället saknade personuppgiftsbiträdesavtal som överensstämde med kraven i artikel 28.4 respektive artikel 28.3 i dataskyddsförordningen, men att Statens servicecenter nu har personuppgiftsbiträdesavtal som uppfyller förordningens krav. Datainspektionen vidtar i detta fall ingen ytterligare korrigerande åtgärd med anledning av denna inledningsvis konstaterade brist.

text: Redogörelse för tillsynsärendet

type: rubrik

text: En anmälan om en personuppgiftsincident avseende personuppgifter som rörde personal på Statens servicecenter (härefter SSC) och som behandlades i systemet Primula inkom till Datainspektionen den 25 juni 2019. Enligt anmälan upptäcktes incidenten den 28 mars 2019. Datainspektionen fick också in, från den 13 augusti 2019 och fram till det att tillsynen inleddes, 37 anmälningar om personuppgiftsincidenter i Primula från myndigheter som

text: SSC är personuppgiftsbiträde åt, det vill säga personuppgiftsansvariga myndigheter. Var och en av de personuppgiftsansvariga myndigheterna fick kännedom om incidenten genom en underrättelse från SSC. Enligt anmälningarna inträffade incidenten från och med den 14 mars till och med den 30 maj 2019. En av de personuppgiftsansvariga myndigheterna bifogade till sin anmälan nämnda underrättelse från SSC, vilken var daterad den 12 augusti 2019.

text: Datainspektionen har inlett tillsyn i syfte att granska SSC:s hantering av personuppgiftsincidenter i systemet Primula. Tillsynen inleddes med en skrivelse till SSC den 18 september 2018 och följdes upp med begäran om komplettering den 5 november 2019 respektive den 17 januari 2020.

text: Statens servicecenters uppgifter

text: SSC har i huvudsak uppgett följande som svar på Datainspektionens frågor.

text: Den 28 mars 2019 fick SSC via dataskyddsombudet på en personuppgiftsansvarig myndighet in en anmälan från en anställd på samma myndighet (härefter ”anmälaren”) om att det gick att komma åt personuppgifter som tillhörde andra personuppgiftsansvariga myndigheter. En intern incidentrapport upprättades av SSC inom tolv timmar från denna tidpunkt. Den bugg som antogs vara källan till problemet ansågs ha åtgärdats den 29 mars 2019. Det visade sig dock att buggen inte lösts eller att nya buggar uppkommit. Anmälaren påpekade detta för SSC under april. SSC lyckades inte återskapa incidenten såsom den beskrivits av anmälaren. Den 21 maj 2019 lämnade anmälaren ytterligare information om hur buggen visat sig och det framkom även att anmälaren vidtagit ytterligare programmeringsåtgärder i Primula. SSC anmälde ärendet till personuppgiftsbiträdet EVRY, som den 3 juni meddelade att ärendet var löst. SSC polisanmälde anmälaren den 24 maj 2019 eftersom det enligt SSC stod klart att denne själv utvecklat och verkställt kod i Primula i syfte att bereda sig tillgång till uppgifter.

text: Den 12 augusti 2019 skickade SSC en underrättelse om personuppgiftsincidenten till de 47 personuppgiftsansvariga myndigheter som använde sig av Primula. Ett kompletterande utskick till samma myndigheter gjordes den 29 augusti 2019.

text: Cirka 282 000 registrerade, varav 1 800 var anställda hos SSC, berördes av personuppgiftsincidenten. Följande kategorier av personuppgifter

text: omfattades: personnummer, namn, uppgift om kön, uppgift om skyddad adressuppgift (dock inte de skyddade uppgifterna), ekonomisk eller finansiell information (underlag för att räkna ut rätt skatt såsom skattetabell, skattekolumn, jämkning, procentuell skatt, medborgar- och arbetsland och så vidare), anställningstid, tjänstgöringsort, arbetstillstånd, nyckelperson, beräknad NOR, anteckning om anhörig (dock inte uppgift om vem den anhörige är).

text: Angående uppgifternas grad av känslighet kan enligt SSC uppgifter om personnummer dels anses skyddsvärda i sig, dels vara reglerade av stark sekretess enligt

text: 39 kap. 3 § offentlighets- och sekretesslagen (2009:400)

text: , OSL. Den senare sekretessen gäller för nio av de myndigheter som använde sig av Primula. En uppgift om att någon har skyddade adressuppgifter kan omfattas av sekretess enligt 21 kap. 3 § och 39 kap. 3 § första stycket OSL, sekretessen är då extra svag eller svag. SSC:s bedömning var därför att vissa av personuppgifterna omfattades av sekretess och var av integritetskänsligt slag.

text: Anledningen till att SSC dröjde med att underrätta, var att SSC ville ha bekräftat om och hur incidenten inträffat innan de berörda myndigheterna underrättades, vilket enligt SSC är en förutsättning för att anses ha kunskap/vetskap om incidenten enligt artikel 33.2. Samma skäl låg bakom att SSC i egenskap av personuppgiftsansvarig dröjde med att anmäla personuppgiftsincidenten till Datainspektionen. Det angavs också i anmälan om personuppgiftsincidenten att det fortsatt var oklart hur den obehöriga åtkomsten faktiskt sett ut och om obehöriga hade tillgång till personuppgifter som SSC var personuppgiftsansvarig för, vilket inte hade kunnat bekräftas vid tidpunkten för anmälan.

text: SSC uppfattade de svar som lämnades från systemleverantören, EVRY, som vaga. Kort efter incidenten frågade SSC systemleverantören om användare kunde ta del av personuppgifter för personer utanför den egna myndigheten. Därefter höll SSC återkommande uppföljningsmöten och fortsatte ställa samma fråga utan att få ett konkret svar från systemleverantören. SSC fick inte heller svar efter att myndigheten ställt frågan mejlledes. Efter sommaren bedömde SSC att det var nödvändigt att underrätta de berörda myndigheterna, även om uppgifterna (om incidenten) fortfarande inte hade bekräftats. Vid det tillfället ansåg inte heller SSC att det fanns någon oro för att exponera pågående säkerhetsbrister i systemet genom att lämna underrättelse om den misstänkta incidenten.

text: Det stod klart relativt snabbt efter att anmälan kom in till SSC att det fanns säkerhetsbrister i Primula, men inte nödvändigtvis att det inträffat en personuppgiftsincident, utom för den myndighet som anmälde bristen. Den 20 augusti 2019 fick SSC bekräftelse på att det varit möjligt att ta del av personuppgifter på andra myndigheter som SSC var personuppgiftsbiträde åt. SSC har uppgivit att servicecentret inte utredde händelsen tillräckligt skyndsamt och att avsaknaden av tydliga och dokumenterade rutiner för att hantera dessa frågor på ett samordnat sätt har bidragit till förseningen med att underrätta de berörda myndigheterna.

text: SSC har ett personuppgiftsbiträdesavtal med EVRY som gjordes under tiden för

text: personuppgiftslagen (1998:204)

text: , PUL. Redan före dataskyddsförordningens ikraftträdande har dock SSC sökt ändring i befintligt PUB-avtal för att ersätta detta med ett som följer dataskyddsförordningens terminologi och formkrav i övrigt.

text: SSC har dokumenterat personuppgiftsincidenten genom polisanmälan, SSC:s anmälan till Datainspektionen, underrättelserna till de personuppgiftsansvariga myndigheterna, den incidentrapport som upprättades och kommunikationen med anmälaren som upptäckte och utnyttjade säkerhetshålet. Dokumentationen finns diarieförd i tre olika ärenden, varav underrättelserna, incidentrapporten och kommunikationen med anmälaren är ett eget ärende.

text: Efter slutkommunicering har SSC framfört följande synpunkter.

text: Personuppgiftsbiträdet EVRY har avtalsmässigt förbundit sig till att leverera en tjänst som är förenlig med gällande lagstiftning. Som ett uttryck för det avtalade kravet att tjänsten ska vara förenlig med gällande lagstiftning har SSC före dataskyddsförordningens ikraftträdande ställt ett antal frågor till EVRY om hur de nya kraven som följer av dataskyddsförordningen hanteras och säkerställs i Primula. EVRY har såväl lämnat svar som ändrat funktionalitet i tjänsten, som en följd av de nya kraven. De åtaganden som finns i det då gällande PUB-avtalet, tillsammans med andra säkerhetskrav och avtalsmässiga åtaganden, innebar en fullgod reglering vad gäller det materiella skyddet och behandlingen av personuppgifter. Den inträffade personuppgiftsincidenten, och de brister som därefter funnits i hanteringen, var inte en konsekvens av det då gällande personuppgiftsbiträdesavtalet eller

text: andra avtalade åtaganden. SSC har dock numera ett uppdaterat personuppgiftsbiträdesavtal med EVRY avseende Primula.

text: Datainspektionens blankett för anmälan av personuppgiftsincidenter har använts av SSC. Det vore anmärkningsvärt om Datainspektionen vid sin kontroll av efterlevnaden av artikel 33 ställer krav på ytterligare dokumentation än det underlag som personuppgiftsansvariga enligt Datainspektionens egna underlag är skyldiga att rapportera.

text: Övrigt som framkommit i tillsynen

text: Datainspektionen har tagit del av den incidentrapport som SSC upprättade i samband med anmälan från en person på en myndighet den 28 mars 2019. I rapporten beskrivs hur personen som anmälde incidenten kunde se bland annat personnummer för alla anställda på vissa myndigheter. Rapporten anger vidare att incidenten utifrån skador, kostnader och konsekvenser är att se som mycket allvarlig ”då känsliga uppgifter blev tillgängliga för användare som inte ska ha åtkomst till dessa”.

text: Datainspektionen har noterat att SSC i underrättelsen till myndigheterna den 12 augusti 2019 anger att SSC bedömt det som nödvändigt att säkerställa att nödvändiga säkerhetsåtgärder har vidtagits innan sådan underrättelse lämnades. Detta eftersom ”informationen berör ett flertal myndigheter som därigenom får kunskap om säkerhetsbrister hos varandra”.

text: Datainspektionen har begärt in den polisanmälan som SSC gjorde den 24 maj 2019. Av polisanmälan framgår att SSC anmält att en person som var anställd på en av de myndigheter som anlitar SSC för sin lönehantering, vid två olika tillfällen olovligen tagit sig in i systemet och på så sätt tagit del av information tillhörande andra myndigheter samt att informationen bestått i personuppgifter och ”löneuppgifter”.

text: Motivering av beslut

text: Rättslig bakgrund

text: Allmänt om ansvaret för personuppgiftsbehandlingar

text: En personuppgiftsansvarig ansvarar för att den följer dataskyddsförordningens bestämmelser vid behandling av personuppgifter, och för att säkerställa att anlitade personuppgiftsbiträden följer dataskyddsförordningen när de behandlar personuppgifter. I dataskyddsförordningen framgår detta av att dess bestämmelser i huvudsak

text: riktar sig till personuppgiftsansvariga, att denne enligt artikel 24 ansvarar för att genomföra tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandling av personuppgifter sker i enlighet med dataskyddsförordningen och att den enligt artikel 28 endast ska anlita personuppgiftsbiträden som ger tillräckliga garantier om att genomföra lämpliga sådana åtgärder.

text: Ett personuppgiftsbiträde, inklusive underbiträden, är ansvarigt för att följa de bestämmelser i dataskyddsförordningen som riktar sig direkt till personuppgiftsbiträden, däribland artikel 33.2. Dessutom kan personuppgiftsbiträden bli ansvariga för överträdelser av dataskyddsförordningen som är en följd av att de inte följt den personuppgiftsansvariges instruktioner.

text: Skyldighet att ha ett personuppgiftsbiträdeavtal

text: Enligt artikel 28.3 i dataskyddsförordningen ska ett personuppgiftsbiträdes behandling av personuppgifter för den personuppgiftsansvariges räkning regleras av ett personuppgiftsbiträdesavtal (eller annan bindande rättsakt). Avtalet ska bland annat föreskriva en skyldighet för personuppgiftsbiträden att se till att skyldigheterna i artiklarna 32–36 i dataskyddsförordningen fullgörs, med beaktande av typen av behandling och den information som personuppgiftsbiträdet har att tillgå.

text: Personuppgiftsbiträden som anlitas av personuppgiftsbiträden, så kallade underbiträden, ska enligt artikel 28.4 i dataskyddsförordningen åläggas samma skyldigheter i fråga om dataskydd som anges i personuppgiftsbiträdesavtalet med den personuppgiftsansvariga. Framförallt ska avtalet ge tillräckliga garantier om att underbiträdet ska genomföra lämpliga tekniska och organisatoriska åtgärder på ett sådant sätt att behandlingen uppfyller kraven i dataskyddsförordningen. Skyldigheterna ska åläggas genom ett avtal (eller annan bindande rättsakt).

text: Skyldighet att underrätta personuppgiftsansvariga

text: Personuppgiftsbiträden ska utan dröjsmål underrätta den personuppgiftsansvarige efter att biträdet fått vetskap om att en personuppgiftsincident har ägt rum, se artikel 33.2 i dataskyddsförordningen. Personuppgiftsbiträdet ska därmed inte göra någon sannolikhetsbedömning vad gäller riskerna för de registrerades fri- och rättigheter. Det är den personuppgiftsansvarige som ska bedöma om personuppgiftsincidenten är sådan att den ska anmälas till

text: tillsynsmyndigheten. För att den personuppgiftsansvarige ska kunna uppfylla sin anmälningsskyldighet krävs att personuppgiftsbiträdet snabbt underrättar den ansvarige.

text: Skyldighet att anmäla till Datainspektionen

text: Det framgår av artikel 33.1 i dataskyddsförordningen att den personuppgiftsansvarige vid en personuppgiftsincident ska anmäla incidenten till tillsynsmyndigheten utan onödigt dröjsmål och, om så är möjligt, inte senare än 72 timmar efter att ha fått vetskap om den. Om det är osannolikt att personuppgiftsincidenten medför en risk för fysiska personers rättigheter och friheter behöver den inte anmälas. Om och i den utsträckning det inte är möjligt att tillhandahålla informationen samtidigt, får informationen tillhandahållas i omgångar utan onödigt ytterligare dröjsmål, se artikel 33.4 i dataskyddsförordningen.

text: Enligt Artikel 29-gruppens vägledning

text: får den personuppgiftsansvarige vid en potentiell incident genomföra en kort undersökning för att fastställa huruvida en incident verkligen har ägt rum. Under denna undersökningsperiod kan den personuppgiftsansvarige inte anses ha fått ”vetskap” om incidenten. I de flesta fall bör, enligt samma vägledning, riskbedömning och anmälan till tillsynsmyndigheten slutföras så snart som möjligt efter den inledande varningen/misstanken om att en säkerhetsincident har ägt rum som kan inbegripa personuppgifter. Endast i undantagsfall bör detta ta längre tid.

text: Skyldighet att dokumentera personuppgiftsincidenter

text: Enligt artikel 33.5 i dataskyddsförordningen ska den personuppgiftsansvarige dokumentera alla personuppgiftsincidenter, inbegripet omständigheterna kring personuppgiftsincidenten, dess effekter och de korrigerande åtgärder som vidtagits. Dokumentationen ska göra det möjligt för tillsynsmyndigheten att kontrollera efterlevnaden av artikel 33 i dataskyddsförordningen.

text: Dokumentationsskyldigheten i artikel 33.5 är kopplad till ansvarsskyldigheten i artikel 5.2 i dataskyddsförordningen, det vill säga att den personuppgiftsansvarige ska ansvara för och kunna visa att de grundläggande principerna för dataskydd efterlevs. Det finns även en koppling mellan artikel 33.5 och artikel 24 i dataskyddsförordningen. Den senare bestämmelsen innebär att den personuppgiftsansvarige ska vidta tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att den utför personuppgiftsbehandlingar i enlighet med dataskyddsförordningens bestämmelser.

text: Datainspektionens bedömning

text: Rollfördelning och sammanfattning av händelseförloppet

text: SSC har beträffande de överträdelser av dataskyddsförordningen som detta beslut rör uppträtt i olika roller, som personuppgiftsansvarig respektive personuppgiftsbiträde. SSC har agerat i egenskap av personuppgiftsbiträde gentemot 47 personuppgiftsansvariga myndigheter som, genom anslutningen till SSC, använder sig av systemet Primula för hantering av personuppgifter om sin personal. Däremot har SSC agerat i egenskap av personuppgiftsansvarig vid behandling av personuppgifter om den egna myndighetens personal i samma system. SSC har anlitat företaget EVRY som personuppgiftsbiträde för driften av systemet Primula. EVRY har därmed varit personuppgiftsbiträde för behandlingen av såväl personuppgifter om anställda hos de 47 personuppgiftsansvariga myndigheterna som personuppgifter om anställda hos SSC.

text: En incident inträffade den 14 mars 2019 och den 28 mars 2019 tog SSC emot en anmälan om det inträffade från anmälaren. Anmälaren menade att den kunde se personuppgifter från andra myndigheter än den egna i Primula. En incidentrapport upprättades av SSC den 28 mars 2019. Efter att anmälan kompletterats med ytterligare uppgifter från anmälaren den 21 maj 2019 upprättade SSC en polisanmälan mot denne den 24 maj 2019.

text: I egenskap av personuppgiftsansvarig anmälde SSC den ovan beskrivna personuppgiftsincidenten till Datainspektionen den 25 juni 2019. Anmälan avsåg obehörig åtkomst till personuppgifter om myndighetens egen personal.

text: I egenskap av personuppgiftsbiträde underrättade SSC de 47 personuppgiftsansvariga myndigheterna den 12 augusti 2019.

text: Den 20 augusti 2019 bekräftade EVRY för SSC att personuppgiftsincidenten innebar att det var möjligt för anställda på någon av de myndigheter som använde sig av Primula att komma åt personuppgifter från de andra myndigheter som använde sig av systemet.

text: Underrättelserna till myndigheterna gjordes för sent

text: Datainspektionen konstaterar att det dröjde närmare fem månader från det att incidenten upptäcktes den 28 mars 2019 till det att SSC underrättade de personuppgiftsansvariga myndigheterna den 12 augusti 2019. Det är betydligt mer tid än vad som kan anses krävas för en kortare undersökning för att tillägna sig vetskap om att en personuppgiftsincident inträffat. Till detta kommer att SSC gjorde en anmälan för egen del omkring sex veckor innan kundmyndigheterna underrättades. Det är tydligt att SSC inte visste mer om hur incidenten drabbat personuppgifterna för den egna personalen än hur den drabbat anställda på de personuppgiftsansvariga myndigheterna. Större kunskap kan därför inte motivera att SSC inte skickade underrättelser till de personuppgiftsansvariga myndigheterna trots att de gjorde en anmälan till Datainspektionen för egen del.

text: Dataskyddsförordningen kräver att den personuppgiftsansvarige blir underrättad utan onödigt dröjsmål så att den kan vidta de åtgärder som behövs med anledning av en inträffad incident. Datainspektionen bedömer att SSC hade tillräcklig vetskap för att vara skyldig att underrätta de personuppgiftsansvariga myndigheterna redan efter den första anmälan från ett dataskyddsombud på en av myndigheterna. Det saknades då enligt Datainspektionens bedömning anledning för SSC att vänta med underrättelsen till de personuppgiftsansvariga myndigheterna för att ”säkerställa att nödvändiga säkerhetsåtgärder vidtagits”.

text: Datainspektionen konstaterar att SSC genom att först den 20 augusti 2019 ha underrättat de personuppgiftsansvarige myndigheterna har överträtt artikel 33.2 i dataskyddsförordningen.

text: Anmälan till Datainspektionen gjordes för sent

text: Datainspektionen konstaterar att det dröjde nästan tre månader från det att incidenten kom till SSC:s kännedom den 28 mars 2019 till det att SSC

text: lämnade in en anmälan om incidenten till Datainspektionen den 25 juni 2019. Detta överstiger vida den tidsgräns om 72 timmar som anges i artikel 32.1 i dataskyddsförordningen. Det är också betydligt mer tid än vad som kan anses krävas för en kortare undersökning för att tillägna sig vetskap om att en personuppgiftsincident inträffat.

text: SSC har till Datainspektionen uppgett att de, i den bemärkelse som avses i artikel 33 i dataskyddsförordningen, fick vetskap om incidenten den 20 augusti 2019 då EVRY bekräftade att personuppgifter kunnat nås sinsemellan de myndigheter som använde sig av Primula. Datainspektionen har i detta avseende tagit fasta på SSC:s agerande både som personuppgiftsansvarig och som personuppgiftsbiträde eftersom SSC agerade utifrån samma händelse i båda rollerna.

text: Datainspektionens bedömning är att SSC måste ha vetat om att en personuppgiftsincident hade inträffat, i den bemärkelsen att SSC trodde på den information som lämnats till myndigheten om personuppgiftsincidenten den 28 mars 2019 och den 21 maj 2019. Den tydligaste indikationen på detta är att det som uppgavs i anmälan till Polismyndigheten den 24 maj 2019 var att en person tagit del av personuppgifter tillhörande andra myndigheter. Att döma av internrapporten ifrågasatte inte SSC uppgifterna om incidenten när den upprättades den 28 mars 2019.

text: Datainspektionen konstaterar mot bakgrund av ovanstående att SSC har överträtt artikel 33.1 i dataskyddsförordningen genom att inte anmäla personuppgiftsincidenten inom 72 timmar från den tidpunkt då anmälan kom in till SSC den 28 mars 2019.

text: Inget giltigt personuppgiftsbiträdesavtal

text: Under perioden 28 mars 2019 till och med 20 augusti 2019 hade SSC, i egenskap av personuppgiftsbiträde, inte ett personuppgiftsbiträdesavtal med EVRY som motsvarade kraven på vad ett personuppgiftsbiträdesavtal ska innehålla enligt artikel 28.4 i dataskyddsförordningen. SSC i egenskap av personuppgiftsansvarig saknade under samma period ett personuppgiftsbiträdesavtal med EVRY som motsvarade kraven på vad ett personuppgiftsbiträdesavtal ska innehålla enligt artikel 28.3.

text: Som personuppgiftsansvarig har SSC att se till att den personuppgiftsbehandling som utförs för myndighetens räkning omfattas av ett personuppgiftsbiträdesavtal.

text: Ett avtal mellan personuppgiftsbiträden ska ha ett innehåll som motsvarar kraven i artikel 28.3. Det framgår av artikel 28.4, som föreskriver att avtalet framförallt ska ”ge tillräckliga garantier om att genomföra lämpliga tekniska och organisatoriska åtgärder på ett sådant sätt att behandlingen uppfyller kraven i denna förordning”. Det är det personuppgiftsbiträde som anlitar ett annat biträde, i detta fall SSC, som ska se till att det finns ett avtal som uppfyller de angivna kraven. Detta eftersom det förstnämnda personuppgiftsbiträdet ansvarar för personuppgiftsbehandlingen gentemot den personuppgiftsansvarige för de underbiträden denne anlitat.

text: Datainspektionen konstaterar att SSC i egenskap av personuppgiftsansvarig respektive i egenskap av personuppgiftsbiträde överträtt artiklarna 28.3 och 28.4 i dataskyddsförordningen genom att ha anlitat ett personuppgiftsbiträde utan att i ett avtal eller annan rättsakt föreskriva sådana skyldigheter som krävs enligt artikel 28 i dataskyddsförordningen.

text: Brister i dokumentationen i rollen som personuppgiftsansvarig Datainspektionen konstaterar att den dokumentation av personuppgiftsincidenten som SSC kommit in med inte klargör hur SSC ställde sig till den underrättelse som kom frånanmälaren och som gav SSC kännedom om incidenten. Det framgår inte hur SSC:s försök att återskapa incidenten gick till och vad det fanns för skäl att ifrågasätta uppgifterna som anmälaren lämnat. Därmed saknas de delar av omständigheterna kring personuppgiftsincidenten som krävs för att kunna visa varför incidenten inte anmäldes inom 72 timmar. Det framgår inte heller av dokumentationen vad SSC har gjort för att få svar på de frågor om incidenten som SSC anfört att myndigheten hade. Det saknas information om omständigheterna kring personuppgiftsincidenten som hade kunnat förklara dröjsmålet med anmälan. Vidare har SSC förklarat att dokumentationen av personuppgiftsincidenten såvitt rör SSC som personuppgiftsansvarig – i form av polisanmälan, anmälan till Datainspektionen, upprättad incidentrapport och kommunikation med den användare som underrättade SSC, finns i tre ärenden i SSC:s diarium. Det ärende som har den mesta dokumentationen – underrättelserna till myndigheterna, incidentrapporten och kommunikationen med användaren, finns i ett ärende som avser SSC:s roll

text: som personuppgiftsbiträde. Dokumentationen visar inte att den har gjorts för att uppfylla skyldigheten enligt artikel 33.5 i dataskyddsförordningen utan framstår som motiverad och ordnad efter andra principer.

text: En förutsättning för att Datainspektionen ska kunna följa upp en personuppgiftsincident baserat på dokumentationen är att den är samlad och ger en rättvisande bild av händelseförloppet. Dokumentationen har i det här fallet inte gjort det möjligt för Datainspektionen att kontrollera efterlevnaden av artikel 33 i dataskyddsförordningen.

text: Datainspektionen konstaterar att SSC i egenskap av personuppgiftsansvarig har överträtt artikel 33.5 i dataskyddsförordningen genom att inte dokumentera personuppgiftsincidenten på ett sätt som gjort det möjligt för tillsynsmyndigheten att kontrollera efterlevnaden av artikel 33 i dataskyddsförordningen.

text: Val av ingripande

text: Rättslig reglering

text: I artikel 58 i dataskyddsförordningen anges Datainspektionens samtliga befogenheter. Datainspektionen har vid överträdelser av dataskyddsförordningen ett antal korrigerande befogenheter att tillgå enligt artikel 58.2 a - j, bland annat reprimand, föreläggande och sanktionsavgifter. Av artikel 58.2 i dataskyddsförordningen följer att Datainspektionen i enlighet med artikel 83 ska påföra sanktionsavgifter utöver eller i stället för andra korrigerande åtgärder som avses i artikel 58.2, beroende på omständigheterna i varje enskilt fall. Om det är fråga om en mindre överträdelse får tillsynsmyndigheten, enligt skäl 148 i dataskyddsförordningen, utfärda en reprimand i stället för att påföra en sanktionsavgift.

text: Datainspektionen har ovan bedömt att SSC i de aktuella behandlingarna av personuppgifter har överträtt artiklarna 33 och 28 i dataskyddsförordningen. Dessa artiklar omfattas av artikel 83.4, som innebär att sanktionsavgifter som huvudregel ska påföras. Det är frågan om en myndighet. Sanktionsavgiften kan därför enligt

text: 6 kap. 2 § dataskyddslagen (2018:218)

text: bestämmas till högst 5 000 000 kronor.

text: Enligt artikel 83.1 i dataskyddsförordningen ska varje tillsynsmyndighet säkerställa att påförandet av administrativa sanktionsavgifter i varje enskilt

text: fall är effektivt, proportionellt och avskräckande.

text: I artikel 83.2 i dataskyddsförordningen anges samtliga faktorer som ska beaktas vid bestämmande av sanktionsavgiftens storlek. Vid bedömningen av storleken på sanktionsavgiften ska hänsyn tas till bland annat a) överträdelsens karaktär, svårighetsgrad och varaktighet, b) uppsåt eller oaktsamhet, samt g) de kategorier av personuppgifter som påverkas av överträdelsen.

text: Sanktionsavgifter ska påföras

text: De personuppgiftsincidenter som SSC inte underrättade de 47 personuppgiftsansvariga myndigheterna om i tid omfattade personuppgifter om cirka 280 000 registrerade. Personuppgifterna som riskerade att bli röjda omfattade bland annat personnummer, uppgift om att personer har skyddad adress (dock inte de skyddade uppgifterna i sig) och uppgifter om anställning. Det dröjde nästan fem månader innan de personuppgiftsansvariga myndigheterna underrättades från det att SSC fått vetskap om personuppgiftsincidenten. Det är därmed inte fråga om mindre överträdelser och det finns inte skäl att ersätta sanktionsavgiften med en reprimand.

text: Den personuppgiftsincident som SSC i egenskap av personuppgiftsansvarig inte anmälde till tillsynsmyndigheten Datainspektionen i tid omfattade personuppgifter om cirka 1 800 registrerade. Personuppgifterna som riskerade att blir röjda omfattade bland annat personnummer, uppgift om att personer har skyddad adress och uppgifter om anställning. Det dröjde närmare tre månader innan SSC kom in med en anmälan till Datainspektionen från det att SSC fick vetskap om personuppgiftsincidenten. Datainspektionen finner att det inte är fråga om en mindre överträdelse och att det inte finns skäl att ersätta sanktionsavgiften med någon annan korrigerande åtgärd.

text: SSC ska därför påföras administrativa sanktionsavgifter för dessa överträdelser.

text: Personuppgiftsbiträdesavtal

text: Datainspektionen har också konstaterat att SSC inte hade personuppgiftsbiträdesavtal som överensstämde med kraven i artiklarna 28.3 och 28.4 i dataskyddsförordningen. SSC har emellertid uppgett att SSC hade

text: personuppgiftsbiträdesavtal som var upprättade i enlighet med

text: personuppgiftslagen

text: , att det pågick ett arbete att uppdatera avtalen och att SSC numera har personuppgiftsbiträdesavtal med EVRY som överensstämmer med dataskyddsförordningens krav. Mot den bakgrunden finner Datainspektionen att det i det här fallet finns skäl att inte påföra en särskild sanktionsavgift eller annan korrigerande åtgärd med anledning av den brist som tidigare förelåg.

text: Omständigheter av betydelse för att fastställa sanktionsavgiftens storlek

text: Personuppgiftsincidenten rörde cirka 280 000 anställda hos 47 personuppgiftsansvariga myndigheter vad avser SSC:s roll som personuppgiftsbiträde och cirka 1 800 anställda hos SSC vad avser SSC:s roll som personuppgiftsansvarig.

text: Datainspektionen har, vid bedömningen av den sanktionsavgift som gäller underlåtenheten att i tid underrätta de personuppgiftsansvariga myndigheterna, bedömt att fördröjningen står i en tydlig konflikt med vikten av att de personuppgiftsansvariga snabbt får information om inträffade personuppgiftsincidenter så att de kan vidta lämpliga åtgärder.

text: Att informationen når ut snabbt är särskilt viktigt om personuppgiftsincidenten innebär en hög risk för fysiska personers rättigheter och friheter, eftersom den personuppgiftsansvarige då ska informera de registrerade utan dröjsmål (se artikel 34 i dataskyddsförordningen). Datainspektionen konstaterar att det i detta fall inte har varit fråga om en personuppgiftsincident som sannolikt inneburit en sådan hög risk. Datainspektionen bedömer att detta medför att förseningen kan bedömas som mindre allvarlig än vad som annars hade kunnat vara fallet.

text: Datainspektionen väger samtidigt in att incidenten omfattade ett stort antal registrerade, att den rörde myndighetens kärnverksamhet och att det har dröjt flera månader från det att SSC fick vetskap om den till dess att SSC underrättade myndigheterna. Dessa omständigheter är försvårande. Det ska också betonas att det rör sig om ett större antal överträdelser, genom i grunden samma felaktiga handlande, eftersom var och en av de 47 drabbade myndigheterna skulle ha underrättats utan onödigt dröjsmål.

text: Vad gäller sanktionsavgiften för underlåtenheten att i tid anmäla personuppgiftsincidenten till tillsynsmyndigheten, det vill säga till Datainspektionen, omfattade denna underlåtelse ett mindre antal registrerade än underlåtelsen att underrätta de personuppgiftsansvariga myndigheterna. En försvårande omständighet är även i detta fall att det dröjde flera månader innan SSC kom in med en anmälan till Datainspektionen.

text: När det gäller personuppgifternas karaktär har Datainspektionen inte anledning att anta någon annan ståndpunkt än SSC vad gäller personuppgifternas skyddsvärde, det vill säga att vissa av dem omfattades av sekretess och var integritetskänsliga.

text: Vad gäller om förseningarna med att anmäla och underrätta om incidenten skett med uppsåt eller av oaktsamhet finner Datainspektionen att SSC har haft uppsåt till förseningarna. Av utredningen framgår att SSC, i den bemärkelse som avses i artikel 33 i dataskyddsförordningen, haft vetskap om att en personuppgiftsincident inträffat som omfattat såväl SSC:s anställda som de personuppgiftsansvariga myndigheternas anställda. Detta har framgått dels genom den interna personuppgiftsincidentsrapport som upprättades den 28 mars 2019, dels genom den polisanmälan som SSC gjorde den 24 maj 2019. SSC har trots vetskapen om incidenten inte anmält den till Datainspektionen i tid eller underrättat myndigheterna utan obehörigt dröjsmål. Bestämmelserna i artikel 33 i dataskyddsförordningen är tydliga vad gäller tidsaspekten och det rör sig, under de omständigheter som kommit fram i tillsynen, inte om ett ursäktligt bedömningsfel.

text: Datainspektionen bestämmer utifrån en samlad bedömning att SSC ska betala en administrativ sanktionsavgift på 150 000 kronor för underlåtelsen att underrätta de personuppgiftsansvariga myndigheterna om personuppgiftsincidenten utan onödigt dröjsmål och att SSC ska betala en administrativ sanktionsavgift på 50 000 kronor för underlåtelsen att anmäla personuppgiftsincidenten till Datainspektionen utan onödigt dröjsmål. Beloppen är ägnade att vara effektiva, proportionella och avskräckande.

text: Föreläggande på grund av brister i dokumentation

text: Att personuppgiftsincidenten inte dokumenterades i enlighet med kriterierna i artikel 33.5 har inte utgjort en mindre överträdelse eftersom dokumentationen inte har kunnat användas av Datainspektionen för att

text: kontrollera efterlevnaden av artikel 33. Vid en prövning i enlighet med artikel 83.2 a) bedömer dock Datainspektionen att dokumentationen ändå inte har varit bristfällig till en sådan grad att det är befogat att påföra en sanktionsavgift. En sanktionsavgift framstår inte heller som proportionell. Däremot ska SSC, i egenskap av personuppgiftsansvarig, föreläggas att upprätta rutiner för dokumentation av personuppgiftsincidenter som gör det möjligt för Datainspektionen att kontrollera efterlevnaden av artikel 33 och framledes kontrollera och se till att dessa rutiner följs. Rutinerna ska åtminstone svara mot kraven i artikel 33.5 i dataskyddsförordningen, som föreskriver att den personuppgiftsansvarige ska dokumentera alla personuppgiftsincidenter, inbegripet omständigheterna kring personuppgiftsincidenten, dess effekter och de korrigerande åtgärder som vidtagits.

text: Detta beslut har fattats av generaldirektören Lena Lindgren Schelin efter föredragning av juristen Elin Hallström. Vid den slutliga handläggningen har även chefsjuristen Hans-Olof Lindblom, enhetschefen Malin Blixt och enhetschefen Katarina Tullstedt medverkat. It-säkerhetsspecialisten Johan Ma har medverkat i de bedömningar som rör informationssäkerhet.

text: Lena Lindgren Schelin, 2020-04-28 (Det här är en elektronisk signatur)

text: Bilaga

text: Hur man betalar sanktionsavgift

text: Kopia för kännedom till:

text: Dataskyddsombud för Statens servicecenter

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till Datainspektionen. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Datainspektionen senast tre veckor från den dag beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder Datainspektionen det vidare till Förvaltningsrätten i Stockholm för prövning.

text: Ni kan e-posta överklagandet till Datainspektionen om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.


text: Polismyndigheten Skickas endast per e-post.

text: Prop. 1997/98:97 s. 91

text: 2 1 § LMR. 3

text: 13 §§

text: förordningen (

text: ) om misstankeregister, FMR

text: 14 § FMR 5

text: Prop 2017/18:232 s. 293

text: f.

slug: polismyndigheten-misstankeregistret

title: Polismyndigheten, misstankeregistret

sammanfattning: IMY förelägger polisen att senast den 31 december 2022 skriftligt redogöra för vilka åtgärder som vidtas för en korrekt gallring av misstankeregistret. Polismyndigheten föreläggs även att upprätta en handlingsplan som säkerställer att gallring av personuppgifter i registret sker i enlighet med reglerna i lagen om misstankeregister.

text: DI-2019-10790 Beslut efter tillsyn enligt

text: brottsdatalagen och lagen om misstankeregister – Polismyndighetens behandling i misstankeregistret Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten (IMY) konstaterar att Polismyndigheten under okänd tid, i vart fall under tiden från dess att tillsynen inletts, brustit i sin behandling av personuppgifter som omfattas av

text: brottsdatalagen (2018:1177)

text: genom att inte säkerställa att uppgifter gallras i enlighet med

text: 13 § lagen (1998:621)

text: om misstankeregister, LMR.

text: IMY förelägger enligt

text: 5 kap. 7 § 2 brottsdatalagen (2018:1177)

text: , BDL, Polismyndigheten att senast den 31 december 2022 skicka in en skriftlig redogörelse till IMY om slutfört arbete enligt ingivet yttrande den 13 juni 2022. Polismyndigheten föreläggs även att upprätta en handlingsplan för de framtida åtgärderna med att säkerställa att gallring av personuppgifter i misstankeregistret sker i enlighet med reglerna i 13 § LMR och ge in den till IMY senast den 31 januari 2023. Tidpunkten för dessa åtgärder ska också framgå av redogörelsen.

text: Redogörelse för tillsynsärendet

text: Granskningens syfte och avgränsning

text: IMY har i enlighet med beslutad tillsynsplan inlett tillsyn mot Polismyndigheten gällande den personuppgiftsbehandling som myndigheten utför i misstankeregistret med stöd av LMR. Tillsynen har avsett myndighetens hantering av personuppgifter vad

text: avser gallring i misstankeregistret.

text: I misstankeregistret registreras uppgifter om personer som har fyllt femton år och som enligt förundersökningsledarens bedömning är skäligen misstänkta för brott.

text: Misstankeregistret ska avspegla uppgifter i Polismyndighetens system RAR och 08-657 61 00

text: DurTvå samt Åklagarmyndighetens system Cåbra och Tullverkets system Tudor. Vilka uppgifter som finns i misstankeregistret är därför avhängigt av hur de registreras i de värdsystem som rapporterar in uppgifterna.

text: Genomförande och metod

text: Vid granskningen har i huvudsak följande framkommit.

text: IMY har den 24 oktober 2019, på plats hos Polismyndigheten i lokalerna på Polhemsgatan i Stockholm, inspekterat myndighetens hantering av personuppgifter vad avser gallring i misstankeregistret. Inför inspektionstillfället begärde IMY att få ta del av interna föreskrifter eller andra styrdokument som reglerade detta. Någon aktuell dokumentation av det slag som IMY efterfrågade fanns inte men IMY fick del av äldre dokumentation från år 2012 som avsåg registervård i misstankeregistret. Polismyndigheten har i samband med inspektionen kort förevisat systemet och uppgett att misstankeregistret inte har någon självständig, inbyggd funktion för gallringen. Information om vilka misstankar som vid varje given tidpunkt ska finnas i misstankeregistret hämtas dagligen från källsystemen hos Polismyndigheten (RAR), Åklagarmyndigheten (Cåbra) och Tullverket (Tudor). Information från Polismyndighetens system DurTVå hämtas in genom RAR då DurTvå inte har någon egen koppling till misstankeregistret. Misstankeregistret ska således spegla alla tre systemens öppna och aktuella misstankar. När det gäller avgöranden från Högsta domstolen skickas de per post direkt till Polismyndigheten som därefter gallrar uppgifterna manuellt. Vid inspektionstillfället uppgav Polismyndigheten att registervård sker varje månad och att antalet felregistreringar är relativt konstant och uppgår till ca 650 ärenden per månad. Polismyndigheten har senare tagit tillbaka uppgiften om att antalet felaktiga registreringar per månad är konstant. Polismyndigheten uppgav vid inspektionen att problemen med felregistreringar kommer att kvarstå så länge det it-tekniska problemet och den manuella hanteringen kvarstår.

text: Med anledning av vad som framkom under inspektionen begärde IMY i mitten av november 2019 att Polismyndigheten skulle inkomma med kompletterande och förtydligande uppgifter avseende bl.a. en sammanställning av vilka typer av fel som identifierats under november månads registervårdskörning och när felen skulle åtgärdas. Polismyndigheten begärde anstånd med att komma in med uppgifterna vid två tillfällen p.g.a. it-teknisk komplexitet. Först den 9 januari 2020 kom Polismyndigheten in med kompletterande uppgifter. Av svaret framgick att myndigheten har identifierat fyra situationer där avvikelser kan uppstå. Vidare uppgav Polismyndigheten att totalt 1 757 brottsmisstankar togs bort från misstankeregistret under november månads registervårdskörning. Myndigheten kunde inte närmare redovisa vilka åtgärder som vidtagits för att rätta till de fel som uppkommit eller hur många av dessa fel som berott på att gallring inte skett inom föreskriven tid.

text: Mot denna bakgrund begärde IMY på nytt att Polismyndigheten bl.a. skulle ta fram en sammanställning där det framgick vad som blivit fel och hur och när felen ska åtgärdas. Polismyndigheten har i svar uppgett att det inte är möjligt att ta fram de uppgifter som IMY begär på den detaljnivå som efterfrågas. I syfte att ta fram mer rättvisande siffror och närmare studera orsakerna till kvarvarande felaktigheter har Polismyndigheten uppgett att de vid mars månads registervårdskörning bl.a. avsåg att undersöka vad anledningen är till att vissa brottsmisstankar inte har uppdaterats. Detta skulle ske i samarbete med Åklagarmyndigheten.

text: I november 2020 inkom Polismyndigheten med en komplettering där det redogjordes för i vilka situationer man identifierat att felregistreringar uppstår samt vilka åtgärder som vidtagits för att åtgärda de brister som framkommit. Bl.a. hade myndigheten påbörjat månatliga stickprov inom registervården och ett antal tekniska uppdateringar avseende integrationen mellan systemen. Därutöver planerades en modernisering av informationsstrukturen.

text: I december 2020 inkom Polismyndigheten med ytterligare en komplettering där de angav att myndigheten under hösten 2020 inlett arbetet med att modernisera integrationerna till misstankeregistret. Då arbetet påverkar anslutningarna mellan misstankeregistret och sändande källsystem hos Polismyndigheten, Tullverket och Åklagarmyndigheten hade ett löpande samarbete mellan myndigheterna inletts för att avhjälpa felen.

text: Inför tillsynsbeslutet gavs Polismyndigheten möjlighet att yttra sig i ärendet. Den 13 juni 2022 inkom myndigheten med ett yttrande där det framkom att ett omfattande arbete med att reformera misstankeregistret pågick där ett nytt misstankeregister avses driftsättas under hösten 2022 med beräknat avslutsdatum under vintern 2024. Problemen med andra myndigheters anslutningar och felaktig status på misstankar ska därmed avhjälpas. Arbetet med den särskilda registervårdskörningen kommer dock fortgå under en övergångsperiod. Löpande utvärderingar kommer enligt myndigheten också att ske under implementeringen för att se till att förändringarna har önskad effekt.

text: Motivering av beslutet

text: Integritetsskyddsmyndighetens bedömning

text: Av förarbetena till LMR framgår att det övergripande syftet med misstankeregistret är att underlätta tillgången till sådana uppgifter om skälig misstanke om brott som behövs för verksamheten hos polis- åklagar- och tullmyndigheterna. Dessa myndigheter är i behov av att på ett enkelt sätt få tillgång till de uppgifter som krävs för att olika förundersökningar mot samma person skall kunna samordnas på ett effektivt sätt. Uppgifterna i registret bör även kunna utnyttjas på annat sätt i dessa myndigheters brottsförebyggande och brottsbekämpande verksamhet. Registret bör dessutom kunna användas av polisen och andra myndigheter vid olika typer av lämplighetsprövning, tillståndsprövning och annan prövning, t.ex. regeringens prövning i nådeärenden och utlämningsärenden, som anges i författning. Registret bör slutligen också få användas för att till enskild lämna uppgift som är av särskild betydelse i dennes verksamhet.

text: Av bestämmelsen i 13 § LMR framgår att registrering i misstankeregistret inte får pågå under längre tid än från det att misstanken uppstår till dess att skuldfrågan är avgjord. Det kan ske antingen genom att förundersökning eller åtal för det misstänkta brottet läggs ner eller genom att en friande eller fällande dom vinner laga kraft.

text: Polismyndigheten är personuppgiftsansvarig för behandlingen av personuppgifter i misstankeregistret. Tullverket respektive Åklagarmyndigheten ska lämna sådana uppgifter till Polismyndigheten som krävs för gallring av misstankeregistret. Det är den myndighet som lämnar uppgifterna till Polismyndigheten som ansvarar för att uppgifterna är riktiga. Felaktigheter eller ofullständigheter i uppgifterna ska rättas på

text: det sätt som Polismyndigheten bestämmer efter samråd med den berörda myndigheten.

text: IMY har begärt att Polismyndigheten beskriver hur myndigheten kontrollerar att behandlingen av personuppgifter i misstankeregistret är förenlig med 13 § LMR, som reglerar när en uppgift i registret ska gallras.

text: Polismyndigheten har uppgett att det finns återkommande problem med bl.a. felregistreringar och dubbletter av brottsmisstankar i misstankeregistret som medför att misstankeregistret inte alltid speglar de verkliga förhållandena. Polismyndigheten kunde inledningsvis inte närmare redogöra för hur många felen är, vad felen beror på, när felen uppstod eller när felen skulle kunna åtgärdas. Polismyndigheten har därefter inlett arbete med att identifiera brister och modernisera integrationerna och arbetet med att driftsätta ett nytt misstankeregister har påbörjats.

text: IMY anser att problematiken med den bristande gallringen är allvarlig eftersom uppgifter ur misstankeregistret används i verksamheter som är beroende av att uppgifterna är riktiga och uppdaterade. Därutöver föreligger risk för att enskilda felaktigt registreras i misstankeregistret och där negativa konsekvenser kan följa vilket får ses som en försvårande omständighet.

text: IMY konstaterar att det finns brister i Polismyndighetens personuppgiftsbehandling vad avser gallring i misstankeregistret. Den automatiserade funktionen har inte säkerställt att uppgifterna gallras i enlighet med bestämmelsen i

text: 13 § lagen (1998:621)

text: om misstankeregister, LMR. IMY konstaterar samtidigt att Polismyndigheten inlett ett arbete med att avhjälpa de brister som uppmärksammats under tillsynen.

text: Val av ingripande

text: Enligt 5 kap. 7 § BDL har IMY ett antal korrigerande befogenheter som får vidtas när det konstaterats att personuppgifter behandlas i strid med gällande regelverk. IMY kan bl.a. förelägga den personuppgiftsansvarige att vidta åtgärder för att behandlingen ska bli författningsenlig, förbjuda behandlingen eller besluta om en sanktionsavgift. Varje åtgärd ska, med beaktande av omständigheterna i varje enskilt fall, vara lämplig, nödvändig och proportionell för att säkerställa efterlevnad av regelverket.

text: IMY:s befogenheter bör ses som en trappa som ger möjlighet att successivt använda kraftfullare medel och därigenom stegra påtryckningarna på den som inte självmant rättar sig efter IMY:s anvisningar. De korrigerande åtgärderna är dock inte kopplade till varandra på det sättet att en strängare åtgärd förutsätter att alla mindre ingripande åtgärder redan har prövats.

text: Av 16 § LMR framgår att en sanktionsavgift får tas ut av den personuppgiftsansvarige vid överträdelse av bestämmelsen om gallring i 13 §, om överträdelsen skett vid behandlingen av personuppgifter som omfattas av BDL.

text: IMY har bedömt att Polismyndigheten vid tillsynens början inte säkerställt att uppgifterna i misstankeregistret gallras i enlighet med bestämmelsen i 13 § LMR. IMY har därför att överväga att påföra en sanktionsavgift utöver, eller i stället för, andra korrigerande åtgärder. Vid bedömningen ska hänsyn tas till vilken åtgärd som är mest effektiv och avskräckande men samtidigt proportionell, dvs. rimlig i förhållande till

text: typen av överträdelse, hur allvarlig överträdelsen är och vilka följder den får. Vid bedömningen har IMY bl.a. tagit hänsyn till överträdelsens karaktär, svårighetsgrad och varaktighet samt vad Polismyndigheten har gjort för att begränsa verkningarna av överträdelsen. Mot bakgrund av att det enligt Polismyndigheten har rört sig om ett fåtal felaktiga registreringar och att dessa vid varje månads registervårdskörning har tagits bort från misstankeregistret finns det, enligt IMY:s uppfattning, skäl att välja en mindre ingripande åtgärd. Polismyndigheten har därutöver under den tid tillsynen pågått påbörjat ett systematiskt arbete för att avhjälpa bristen. Vid en samlad bedömning och med hänsyn till vad som är mest effektivt och proportionellt anser IMY att Polismyndigheten ska föreläggas att fortsätta arbeta med att vidta lämpliga åtgärder för att säkerställa att behandlingen blir författningsenlig och redovisa dessa för IMY.

text: IMY förelägger därför enligt

text: , BDL, Polismyndigheten att senast den 31 december 2022 skicka in en skriftlig redogörelse till IMY om slutfört arbete enligt ingivet yttrande den 13 juni 2022. Polismyndigheten föreläggs även att upprätta en handlingplan för de framtida åtgärderna med att säkerställa att gallring av personuppgifter i misstankeregistret sker i enlighet med reglerna i 13 § LMR och ge in den till IMY senast den 31 januari 2023. Tidpunkten för dessa åtgärder ska också framgå av redogörelsen.

text: Detta beslut har fattats av enhetschefen Charlotte Waller Dahlberg efter föredragning av juristen Elena Mazzotti Pallard. Vid den slutliga handläggningen av ärendet har även datarådet Agneta Runmarker och it-säkerhetsspecialisterna Johan Ma medverkat.

text: Charlotte Waller Dahlberg, 2022-06-28 (Det här är en elektronisk signatur)

text: Kopia till

text: Dataskyddsombudet för kännedom dataskyddsombud@polisen.se

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till Integritetsskyddsmyndigheten. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till Integritetsskyddsmyndigheten senast tre veckor från den dag beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder Integritetsskyddsmyndigheten det vidare till Förvaltningsrätten i Stockholm för prövning.

text: Ni kan e-posta överklagandet till Integritetsskyddsmyndigheten om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.

type: avgorande


nyckelord:
Kreditupplysning
Dina rättigheter

slug: sergel-kredittjanster-ab

title: Sergel Kredittjänster AB

sammanfattning: Vi har granskat inkassoverksamheten och fattat ett beslut.

text: Sergel Kredittjänster AB

text: Tillsyn enligt

text: inkassolagen (1974:182)

text: – Sergel Kredittjänster AB

text: Datainspektionens beslut

text: Datainspektionen konstaterar att Sergel Kredittjänster AB har brutit mot

text: 4 § inkassolagen

text: genom - att ha som rutin att skicka inkassokrav via digital brevlåda även om en gäldenär har upplyst bolaget om att denne inte kan eller önskar ta del av försändelser via den kanalen, - att i bemötanden av så kallade enkla invändningar uppmana gäldenärer att till inkassobolaget styrka sin invändning och skicka in bevisning, samt genom - omfattande brister beträffande tillgängligheten för gäldenärer.

text: Datainspektionen förutsätter att Sergel Kredittjänster AB vidtar åtgärder för att komma tillrätta med de konstaterade bristerna. Hanteringen av digitala utskick och enkla invändningar kan komma att följas upp. Sergel Kredittjänster AB:s åtgärder i syfte att förbättra tillgängligheten för gäldenärer kommer att följas upp genom förnyad tillsyn.

text: Ärendet avslutas.

text: Redogörelse för tillsynsärendet

text: Den 24 oktober 2019 genomförde Datainspektionen en inspektion hos Sergel Kredittjänster AB (fortsättningsvis Sergel). Inspektionen företogs med anledning av att Datainspektionen rutinmässigt granskar stora aktörer som har inkassotillstånd.

text: Syftet med inspektionen var att undersöka hur verksamheten bedrivs och att granska Sergels rutiner för inkassoförfarandet. Frågor som togs upp vid inspektionen omfattade bland annat förändringar i verksamheten, initiala kontroller, ömsesidig information, utformning av inkassokrav, periodiskt återkommande fordringsanspråk, redovisning av avräknade belopp, användningen av digital brevlåda, gäldenärskontakt, val av processform, amorteringsplaner och långtidsbevakning.

text: Efter inspektionstillfället mottog Datainspektionen många klagomål mot Sergel från gäldenärer som gjorde gällande svårigheter att komma i kontakt med Sergel, såväl via telefon som genom Mina sidor. Därför utvidgade Datainspektionen tillsynen den 26 mars 2020 till att även omfatta gäldenärers möjligheter att komma i kontakt med bolaget.

text: Skäl för beslutet

text: Tillämpliga bestämmelser

text: Inkassoverksamhet ska bedrivas enligt god inkassosed (

text: 4 § inkassolagen

text: ). Vad som är god inkassosed framgår av

text: 11 §§

text: inkassolagen

text: , Datainspektionens allmänna råd ”Tillämpning av

text: inkassolagen

text: ” och Datainspektionens praxis i inkassofrågor.

text: Digitaliserade utskick av inkassokrav

text: Tillämpliga bestämmelser m.m. Rättslig åtgärd med anledning av fordran får inte vidtas förrän gäldenären tillställts krav som avses i

text: 5 § inkassolagen

text: och den angivna tiden löpt ut (

text: 6 § inkassolagen

text: ). I

text: 5 § inkassolagen

text: ställs krav på att inkassokrav ska framställas skriftligt och ha ett visst innehåll.

text: I förarbeten till

text: inkassolagen

text: anges att bestämmelsen att gäldenären ska ha tillställts krav inte innebär annat än att borgenären eller hans ombud ska ha vidtagit skäliga åtgärder för att gäldenären ska få del av kravet. Normalt bör det vara tillräckligt att kravbrev sänds med post under gäldenärens vanliga adress (

text: prop. 1974:42 s. 110

text: Enligt god inkassosed bör post till en gäldenär, som inte är näringsidkare, skickas till dennes folkbokföringsadress eller den särskilda postadress som

text: har registrerats hos Skatteverket, förutsatt att inte gäldenären har upplyst om att han eller hon kan nås på annan adress eller detta har kommit fram på annat sätt (Datainspektionens allmänna råd, s. 31.-32).

text: Det kan anses strida mot

text: 6 § inkassolagen

text: att vidta rättsliga åtgärder om det har blivit känt för inkassobolaget att kravet har skickats till en felaktig adress, såvida inte inkassobolaget vet att kravet faktiskt har nått fram till gäldenären (Datainspektionens allmänna råd s. 17).

text: Bakgrund

text: Sedan 2018 använder Sergel den digitala brevlådetjänsten Kivra som leverantör för utskick av digitala inkassokrav. Idag skickas ca 50 % av alla inkassokrav via Kivra.

text: Sergel anser att bolaget uppfyller kravet på att gäldenären ska ha tillställts inkassokravet genom att gäldenären själv anslutit sig till tjänsten och legitimerat sig via BankID. Sergel likställer tjänsten med en vanlig brevlåda och använder samma tidsfrist som för vanliga brevutskick i de inkassokrav som skickas digitalt, det vill säga åtta kalenderdagar.

text: Sergel erbjuder i dagsläget ingen möjlighet för gäldenärer som är ansluta till Kivra att få inkassokrav postalt i stället för via Kivra. Sergel kan dock informera gäldenären om dennes möjlighet att själv ta bort Sergel som avsändare i Kivra, vilket innebär att framtida brev från Sergel skickas postalt. För det fall att en gäldenär vänder sig till Sergel och uppger att denne inte har mottagit något inkassokrav, till exempel på grund av begränsad åtkomst till tjänsten Kivra, är det möjligt att skicka det aktuella inkassokravet via post.

text: Sergel har en pågående diskussion med sin nya inkassosystemleverantör och printleverantör om att Sergel framgent ska ha möjlighet att på gäldenärers begäran själva stoppa framtida digitala försändelser. Sergel upplever dock att frågeställningar eller önskemål avseende detta är ovanliga.

text: Datainspektionen har tagit del av allmänna villkor för tjänsten Kivra. I de allmänna villkoren framgår bland annat att en användare när som helst kan anmäla till Kivra att den inte längre önskar ta emot e-försändelser från en eller flera avsändare. Efter en sådan anmälan kan användaren fortsätta att få e-försändelser från den aktuella avsändaren under maximalt femtiotvå dagar.

text: Sergel har beretts tillfälle att yttra sig över den aktuella skrivningen i villkoren. Sergel har därvid uppgett att Sergel gör kontroller mot Kivra inför varje separat inkassokrav, att Kivras register med avregistreringar uppdateras en gång i veckan och att en gäldenär därför kan få inkassokrav från Sergel via Kivra som längst en vecka efter avregistreringstillfället.

text: Datainspektionens bedömning

text: Genom att ansluta sig till den digitala brevlådan Kivra kan företag och myndigheter, i stället för att skicka brev i pappersform med fysisk post, skicka brev som elektroniska försändelser till privatpersoner och företag som har registrerat ett konto hos Kivra.

text: Datainspektionen har i ett beslut den 28 augusti 2019 i ärende med diarienummer DI-2019-5660 bedömt ett inkassobolags utskick av inkassokrav via Kivra. I beslutet konstaterades att det inte finns något krav i

text: 5 § inkassolagen

text: på att ett inkassokrav måste sändas till gäldenären i pappersform. Datainspektionen ansåg vidare att den digitala brevlådan Kivra är en sådan plats som kan jämställas med gäldenärens adress om gäldenären frivilligt anslutit sig till Kivra och inte meddelat inkassobolaget eller Kivra att den digitala brevlådan inte får användas för utskick av inkassobolagets inkassokrav. Datainspektionen konstaterade att utskick av ett inkassokrav via den digitala brevlådan, under de omständigheter som förelåg i ärendet, kunde anses vara tillställt gäldenären i enlighet med

text: 6 § inkassolagen

text: Datainspektionen anser således att ett inkassobolag, under sådana omständigheter, kan anses ha vidtagit skäliga åtgärder för att gäldenären ska få del av kravet när ett inkassokrav skickas via en digital brevlåda. Det förutsätter dock att villkoren för brevlådetjänsten är sådana att gäldenären har åtagit sig att bevaka den digitala brevlådan och att ta del av försändelserna som skickas till den. För att ett inkassobolag ska kunna utgå från att gäldenären bevakar sin digitala brevlåda måste man alltså, vid valet av en tjänst för digital brevlåda såväl som löpande under avtalstiden, särskilt granska de villkor som reglerar användarens skyldighet att ta del av försändelser.

text: Om en gäldenär vänder sig till inkassobolaget och meddelar att denne inte vill att framtida inkassokrav ska skickas via en digital brevlåda har ett inkassobolag dock, enligt Datainspektionen, inte längre fog att förvänta sig att gäldenären kommer att ta del av försändelser som ändå skickas på detta

text: sätt. Efter den tidpunkt ett inkassobolag har fått faktisk kännedom om att en gäldenär inte kan eller önskar ta del av försändelser från bolaget i den digitala brevlådan anser Datainspektionen att inkassobolaget inte kan anses ha vidtagit skäliga åtgärder för att se till att gäldenären får del av inkassokrav som ändå sänds till den digitala brevlådan. I den situationen bör inkassobolaget skicka försändelser via fysisk post till gäldenärens folkbokföringsadress eller den särskilda postadress som har registrerats hos Skatteverket, förutsatt att inte gäldenären har upplyst om att han eller hon kan nås på annan adress eller detta har kommit fram på annat sätt.

text: Datainspektionen anser vidare att det är i strid med

text: 6 § inkassolagen

text: att vidta rättsliga åtgärder om det har blivit känt för inkassobolaget att kravet har skickats till en digital brevlåda som gäldenären har uppgett att denne inte bevakar, såvida inte inkassobolaget vet att kravet faktiskt har nått fram till gäldenären.

text: Sergel saknar idag möjlighet att stoppa framtida digitala utskick på gäldenärers begäran utan hänvisar till Kivra. Det innebär en risk för att Sergel i vissa situationer kan komma att vidta rättsliga åtgärder i strid med

text: 6 § inkassolagen

text: . Datainspektionen bedömer därför att Sergels rutiner för utskick av inkassokrav via digital brevlåda, när en gäldenär har upplyst om att denne inte kan eller önskar ta del av försändelser på detta sätt, är i strid med god inkassosed.

text: Mot bakgrund av vad Sergel har uppgett om att begäran från gäldenärer om andra utskickssätt är ovanliga, att gäldenärer kan avregistrera sig från utskick via Kivra och då Sergel har för avsikt att framöver erbjuda denna möjlighet ser Datainspektionen inte behov av att för närvarande vidta några åtgärder. Hanteringen av digitala utskick kan dock komma dock att följas upp inom ramen för framtida tillsyn.

text: Hantering av enkla invändningar

text: Tillämpliga bestämmelser m.m. En summarisk process är inte meningsfull när gäldenären har gjort en saklig invändning som medför att fordringsanspråket måste prövas materiellt. Om det tydligt framgår att gäldenärens invändning är sakligt grundad bör en eventuell talan i stället väckas vid domstol genom en stämningsansökan. Enligt god inkassosed får en ansökan om betalningsföreläggande därför inte

text: lämnas in om gäldenären har gjort klart att fordran bestrids och angett en saklig grund för sitt bestridande (Datainspektionens allmänna råd s. 36 f.).

text: Ett felaktigt val av processform kan vidare leda till en ansökan eller ett utslag i mål om betalningsföreläggande, vilket i sin tur innebär att gäldenären på felaktiga grunder noteras i kreditupplysningsregister (Datainspektionens allmänna råd s. 37).

text: Bakgrund

text: I ärendet har framkommit att när en gäldenär invänder mot ett inkassokrav hanterar Sergel ärendet på olika sätt, beroende på om invändningen klassificeras som en enkel invändning eller inte. Exempel på enklare invändningar är att gäldenären hävdar ett denne har betalat men att Sergels uppdragsgivare har uppgett att betalning inte inkommit.

text: Efter att Sergel har inhämtat uppdragsgivarens inställning till ett bestridande av enklare karaktär, och anser saken utredd, försöker Sergel i möjligaste mån att bemöta gäldenären. I dessa fall informerar Sergel gäldenären om uppdragsgivarens svar och att gäldenären kan återkomma om denne vill vidhålla bestridandet. Om gäldenären inte återkommer efter att Sergel svarat i ärendet kan bolaget komma att gå vidare med ansökan om betalningsföreläggande, vilket gäldenären också informerats om tidigare. Vid mer kvalificerade invändningar hanteras ärendet direkt av Sergels juridikavdelning.

text: Sergel har gett in följande mall för bemötande av en invändning om betalning.

text: Datainspektionens bedömning

text: Datainspektionen har i samband med tidigare tillsyn av Sergel uttalat sig kring Sergels hantering av så kallade enklare invändningar, se Datainspektionens beslut den 23 mars 2012 i ärende med diarienummer

text: Datainspektionen framhöll i beslutet att det är viktigt för rättssäkerheten att inkassobolag inte själva agerar domstol, utan att man låter domstol avgöra om gäldenären är betalningsskyldig eller inte. För att få använda den summariska processen efter att gäldenären har gjort en sakligt grundad invändning krävs därför att gäldenären tar tillbaka sin invändning eller att inkassobolaget i vart fall tydligt uppmanar gäldenären att återkomma för det fall denne vidhåller sin invändning och i samband med det upplyser om sin avsikt att i annat fall vända sig till Kronofogdemyndigheten samt därefter ge gäldenären skälig tid att svara. Datainspektionen förutsatte att Sergel skulle följa dessa anvisningar för att inte orsaka gäldenärer onödig olägenhet.

text: Datainspektionen kan inledningsvis konstatera att det exempel på bemötande som Sergel ger in i stort följer de anvisningar som Datainspektionen lämnat i det tidigare beslutet. I det bemötande som Sergel nu gett in uppmanas dock även gäldenären att styrka sin invändning genom att skicka in bevisning om att betalning skett.

text: Det är domstolar som slutligt ska pröva betalningsskyldighet med anledning av en invändning och i samband med detta pröva bevisvärdet av det underlag parterna lämnar in. Inkassobolaget har inte befogenhet att själva avgöra en uppkommen tvist och inte heller att avgöra hur bevisningen skulle bedömas vid en framtida tvist i domstol. Inkassobolag bör därför undvika att använda sig av ord och formuleringar som kan ge intryck av att gäldenären behöver styrka sin invändning till inkassobolaget. Det ska klargöras att det i och för sig inte finns något hinder för ett inkassobolag att fråga gäldenären om han eller hon kan skicka in visst underlag. En sådan fråga bör dock formuleras så att det tydligt framgår att det är frivilligt för gäldenären att skicka in underlaget.

text: Att i bemötanden av så kallade enkla invändningar uppmana gäldenärer att till inkassobolaget styrka sin invändning och skicka in bevisning strider därför mot god inkassosed.

text: Datainspektionen förutsätter att Sergel ser över och tydliggör de skrivningar som används för att bemöta invändningar för att undvika eventuella missförstånd från gäldenärer och för att säkerställa att brevens utformning är förenlig med god inkassosed.

text: Gäldenärskontakt - tillgänglighet

text: Tillämpliga bestämmelser m.m. God inkassosed innebär att inkassobolaget utan dröjsmål bör besvara gäldenärens frågor om fordringsanspråket och den rättsliga grunden för det. Inkassobolaget bör vidare vara tillgängligt för gäldenären i vart fall under en bestämd telefontid alla helgfria måndagar-fredagar. (Datainspektionens allmänna råd s.31-32)

text: Det är inte god inkassosed att vidta en inkassoåtgärd om det av invändningar från gäldenären eller på annat sätt framgår att fordran saknar laglig grund. Enligt god inkassosed bör inkassobolaget därför snarast möjligt utreda om en invändning från gäldenären har fog för sig. (Datainspektionens allmänna råd s. 19).

text: Bakgrund

text: Datainspektionen har sedan mitten av december 2019 mottagit många skriftliga klagomål där klaganden gör gällande att han eller hon har svårt att komma i kontakt med Sergel, såväl via telefon som genom Sergels webbtjänst ”Mina sidor”. Klagandena gör bland annat gällande att det har varit omöjligt att få plats i telefonkö, eller att de fått vänta i flera timmar på att komma fram. Flera har också uppgett att de har haft svårt att komma in på Mina sidor då de mötts av felmeddelanden om tillfälligt avbrott eller underhåll. Flera av de klagande har även gjort gällande att de skickat flera meddelanden via Mina Sidor som besvarats först efter en lång tid, eller inte alls. En klagande har vidare uppgett att hon skickat ett mejl till Sergel vilket besvarades med att automatiskt standardsvar.

text: Utöver de skriftliga klagomålen har Datainspektionen mottagit ett flertal telefonsamtal angående svårigheter att komma i kontakt med Sergel. Datainspektionen har vidare, i juni 2020, uppmärksammats på att telefonnumret till Sergels kundtjänst tagits bort från bolagets webbplats. Istället hänvisades besökare på webbplatsen att hitta telefonnummer på sitt inkassokrav.

text: Sergel har i yttranden uppgett i huvudsak följande.

text: Sergel har haft vissa problem med tillgängligheten både via gäldenärsweb och kundtjänst via telefon. Sergel har dock vidtagit ett

text: flertal åtgärder för att komma till rätta med tillgänglighet och samtalstider och tillgängligheten har förbättrats avsevärt sedan början av mars månad. Under december till och med februari har det varit ovanligt långa svarstider på telefon. Det beror dels på att gäldenärswebben haft tillgänglighetsproblem, dels på längre handläggningstider och samtalstider under övergång till nytt inkassosystem. Dessutom har en av Sergels större kunder skickat ut ett flertal oplanerade påminnelseutskick, vilket inneburit kraftig belastning av Sergels telefoniresurser. En av Sergels kunder har också överfört större volymer än Sergel haft möjlighet att planera för i maj, juni och juli.

text: Den telefonilösning som Sergel nyttjar har en begränsning för att förhindra att systemet blir överbelastat och går ner. Vid långa kötider blir linjerna istället ”upptagna”. När det inträffar och Sergel inte har möjlighet att ta emot fler samtal möts den som ringer in av ett meddelande som lyder: ”Vi kan för närvarande inte ta emot ditt samtal, var vänlig ring igen vid ett senare tillfälle. För mer information om dina ärenden kan du logga in på Mina Sidor via www.sergel.se.”

text: Den 1 december 2019 lanserade Sergel en ny gäldenärswebb - ”Mina Sidor” - samtidigt som Sergel implementerade ett nytt inkassosystem. Under december var gäldenärswebben nedstängd i 10 veckodagar och vid ytterligare ett antal tillfällen på grund av underhåll och felsökning. Det har även förekommit driftstörningar på grund av uppdateringar. Detta har i sin tur bidragit till mycket hårt tryck på inkommande samtal via telefon.

text: Sergels nya gäldenärswebb fungerar i dagsläget stabilt och är tillgänglig. Sergel och dess leverantörer har prioriterat felsökningar för att stabilisera inkassosystemet samt gäldenärswebben. Sergel har även genomfört en uppdatering av telefoniplattformen den 27 februari vilket inneburit en förbättring av kapaciteteten för inkommande trafik. Sergels telefonilösning har inte överbelastats sedan dess. Antalet inkomna samtal och svarstider har minskat och återgått till normalt inflöde och samtalstider. Sergel har sedan mitten på februari utökat sin bemanning med 23 handläggare och ytterligare 12 handläggare ska börja under maj månad. Sergel har under perioden av bristande

text: tillgänglighet varit mycket restriktiva med att sända ärenden vidare till Kronofogdemyndigheten.

text: Sergel planerar att införa en chat-funktion under Mina Sidor som en alternativ kanal. Chatten kräver autentisering via BankID. Sergel ser chatten som ett komplement till telefoni när gäldenären behöver snabb, enkel återkoppling. Vissa av uppgifterna från chatten registreras i inkassosystemet. Sergel kommer också att avveckla sin reskontrahantering vilket kan hindra vissa störningsmoment och variationer av volymer från dessa samtal.

text: Sergel har valt att minimera sin kommunikation med gäldenärer via epost då sådan kommunikation innebär dataskyddsrisker. Sergel har tre allmänna e-postadresser som, sedan den 7 oktober 2019, inte längre används för kommuinikation med gäldenärer men som fortfarande kan hittas på internet och i gamla brev. Sergel har för avsikt att på sikt styra bort trafiken från dessa e-postadresser. Till dess att så kan ske har Sergel som rutin att besvara inkommande mejl från gäldenärer samma dag, med följande standardsvar:

text: ”OBS! Viktig information till dig!

text: Kommunikationskanalen via denna mailadress har upphört. Ditt ärende kommer därför inte att besvaras här. Det innebär att du från och med nu ställer frågor till oss, och ser vår svar på Sergel.se/loggain. Detta för att ytterligare höja säkerheten i hanteringen av data och personuppgifter då vi följer Dataskyddsförordningen (GDPR), och den är förändringen vi gör för att vi värnar om din integritet. Ett ytterligare led i att öka din säkerhet är att vi tar bort det ursprungliga meddelandet i denna konversation.

text: Välkommen in på Sergel.se”

text: Inkomna bestridanden dokumenteras i inkassosystemet och besvaras via ”Mina Sidor” alternativt brevledes.

text: Sergel kan konstatera att rutinbeskrivningen inte har följts för två av de allmänna e-postadresserna. Inkommande e-post till dessa adresser har i de flesta fallen endast besvarats med ett standardsvar med hänvisning till andra kanaler, som då olyckligtvis haft bristande

text: tillgänglighet under december till och med februari. Sergel ser allvarligt på det som har inträffat.

text: Sergel avser att förtydliga sin rutinbeskrivning och säkerställa hanteringen av bestridanden till dess att de kan stänga ner de aktuella e-postbrevlådorna. Sergel kommer även att se över innhållet i standardsvaret och ange samtliga kanaler gäldenären kan använda för att komma i kontakt med Sergel.

text: I samband med att Sergels webbplats och allt dess innehåll flyttades till en ny IT-plattform den 10 juni 2020, följde telefonnumret inte med i den nya text som infördes gällande ”Kontakt med Kundservice” på gäldenärswebbsidan. Det har inte föregåtts av några särskilda diskussioner eller överväganden. Sergel har korrigerat detta den 8 juli 2020.

text: Sergels ledning har som högsta prioritet att säkerställa en stabil, enkel och säker leverans av inkassotjänster med hög tillgänglighet.

text: Datainspektionens bedömning

text: En förutsättning för att ett inkassobolag ska kunna uppfylla sina skyldigheter att skyndsamt besvara gäldenärers frågor och hantera invändningar i tid är att det är enkelt för gäldenärer att komma i kontakt med bolaget. Med hänsyn till att den normala fristen för invändning eller betalning i ett inkassokrav är kort är det mycket angeläget att gäldenären ges möjlighet att komma i kontakt med bolaget inom rimlig tid, dels för att kunna ta ställning till om kravet är korrekt, dels för att kunna invända i rätt tid.

text: Sergel erbjuder kontaktmöjligheter via sin gäldenärswebb och via telefon. Av Sergels yttrande framgår att bolaget har haft problem med teknisk åtkomst till sin gäldenärswebb och långa svarstider i telefonen under en och samma period.

text: Av svaret framgår också att Sergel har tagit bort möjligheten för gäldenärer att kommunicera med bolaget via e-post, samtidigt som e-postadresser som tidigare använts för detta syfte fortfarande är aktiva.

text: Datainspektionen, som i detta beslut inte tar ställning till frågor gällande personuppgiftsbehandling, har förståelse för att inkassobolag vill använda

text: säkra och lämpliga kommunikationskanaler. Att enbart hänvisa till inloggning på gäldenärsweb, som för privatpersoner kräver BankID, riskerar dock att utestänga många gäldenärer som inte innehar BankID från möjligheten att kontakta bolaget. En sådan kommunikationskanal måste därför kompletteras av andra lämpliga kanaler.

text: Datainspektionen vill framhålla att ett inkassobolag bör hantera de frågor och invändningar som inkommer till bolaget oavsett vilka kontaktvägar gäldenären använder. Det innebär till exempel att en fråga eller en invändning som inkommit till fel avdelning hos bolaget bör vidarebefordras till den avdelning som kan besvara gäldenärens frågor. Även om en gäldenär använder en kontaktväg som inte är anvisad bör bolaget alltså hantera frågan eller invändningen. Det innebär inte att frågan behöver besvaras i samma kanal som frågan ställdes, utan bolaget kan välja det kommunikationssätt som är mest lämpligt i det enskilda fallet.

text: Sergel uppger att de har som rutin att besvara invändningar från gäldenärer även när de inkommer via e-post men att denna rutin har brustit. Sergel har vidare uppgett att de kommer att hänvisa till fler kontaktvägar i standardsvaret.

text: Sergel har vidare under en period tagit bort telefonnummer till kundtjänst från sin webbplats. Istället hänvisades besökare på webbplatsen att hitta telefonnummer på sitt inkassokrav. Datainspektionen anser att ett inkassobolag bör underlätta för gäldenärer att komma i kontakt med bolaget. Genom att endast hänvisa till inkassokravet för att hitta telefonnummer försämras tillgängligheten för gäldenärer. I sammanhanget bör det beaktas att ett inkassoärende kan pågå i flera år och att det kan har förflutit lång tid sedan gäldenären mottog ett inkassokrav. Det är därför inte säkert att gäldenären ens har tillgång till denna uppgift. Som tidigare anförts är inte heller gäldenärweb en kontaktväg som passar alla gäldenärer. Gäldenären kan inte heller kontakta Sergel via e-post, t.ex. för att fråga om telefonnumret.

text: Datainspektionen kan konstatera att Sergel har, eller har haft, ett flertal brister gällande tillgängligheten som rör - begränsad åtkomst till gäldenärswebben, - långa svarstider eller möjlighet att komma fram till kundtjänst via telefon,

text: - underlåtenhet i vissa fall att hantera frågor och invändningar som inkommit via e-post, och - svårigheter för gäldenärer att finna olika kontaktvägar till bolaget.

text: Datainspektionen konstaterar vid en sammanvägd bedömning att de uppräknade bristerna är så omfattande att Sergel inte kan anses ha levt upp till de krav på tillgänglighet och den skyldighet att utan dröjsmål besvara gäldenärers frågor och att skyndsamt utreda invändningar som följer av god inkassosed. Sergel har vidtagit åtgärder beträffande vissa av bristerna. Vissa av problemen kvarstår dock alltjämt och Datainspektionen får fortfarande in klagomål mot Sergel gällande tillgängligheten för gäldenärer.

text: Datainspektionen, som ser allvarligt på bristerna beträffande tillgänglighet, förutsätter att Sergel vidtar åtgärder för att ytterligare förbättra tillgängligheten för gäldenärer. Datainspektionen anser det därför inte nödvändigt att vidta några åtgärder mot Sergel i dagsläget. Datainspektionen kommer dock att följa utvecklingen av inkommande klagomål gällande tillgängligheten hos Sergel. Frågan om tillgänglighet för gäldenärer kommer också följas upp inom ramen för framtida tillsyn mot bolaget.

text: Övrigt

text: Vad som i övrigt förekommit i ärendet föranleder inga vidare åtgärder från Datainspektionen.

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till Datainspektionen. Ange i skrivelsen vilket beslut som överklagas och den ändring som ni begär. Överklagandet ska ha kommit in till Datainspektionen senast tre veckor från den dag ni fick del av beslutet. Datainspektionen sänder överklagandet vidare till Förvaltningsrätten i Stockholm för prövning, om inspektionen inte själv ändrar beslutet på det sätt ni har begärt. Även Justitiekanslern får överklaga beslutet för att tillvarata allmänna intressen. Tiden för överklagande för Justitiekanslern räknas dock från den dag beslutet meddelades.

text: Förutsatt att överklagandet inte innehåller några integritetskänsliga personuppgifter eller uppgift som kan omfattas av sekretess, kan ni e-posta överklagandet till . Detta beslut har fattats av enhetschefen Catharina Fernquist efter föredragning av juristen Evelin Palmér. Catharina Fernquist, 2020-10-14 (Det här är en elektronisk signatur)