스웨덴 사이클 연맹, 신변 보호 대상자 정보 유출로 제재

Svenska cykelförbundet exponerade en medarbetare med skyddad identitet och utsatte henne för risker.

Det konstaterar Integritetsskyddsmyndigheten i ett beslut.

Medarbetaren, som DN väljer att kalla Eva, lever med skyddad identitet sedan april 2022.

Hon inkom med intyg om detta till arbetsgivaren i december 2022.

Hon anser sedan att hennes identitet röjdes i juni 2023 – i samband med flytt till nya lokaler – när hennes fullständiga namn och förbundets adress skrevs ut på hemsidan.

Integritetsskyddsmyndigheten (IMY) har utrett hennes fall med hänvisning till paragraf 17.1d i dataskyddsförordningen, det vill säga att en registrerad har "rätt till radering" och att det ska ske "utan dröjsmål" om "personuppgifterna har behandlats på olagligt sätt".

Enligt Eva begärde hon under juli, augusti och september att uppgifterna skulle raderas – utan gensvar.

Förbundet ifrågasätter dock detta och skrev i sitt svar till IMY att varken skriftliga eller muntliga underlag för begäran inkommit.

Enligt ett intyg i juli från Relationsvåldteamet i Evas stadsdel befinner sig Eva på farlighetsnivå 3 av 4 vid denna tid: "allvarlig fara råder".

De råder henne att polisanmäla chefen, vilket hon gör.

Då visste fortfarande ingen var vi satt.

DN har tagit del av ett inspelat samtal mellan Eva och hennes chef i september, som också varit en del i IMY:s underlag, där chefen medger att han i mejl skrivit ut Evas fullständiga namn och förbundets nya adress och att hon finns på plats klockan 08–17.

Eva: "Det är att röja min skyddade plats." Chefen: "Nu tycker jag i och för sig att du övertolkar väldigt mycket." – Fram till att vi bytte kontorsadress så hade jag fixat med Riksidrottsförbundet så att vi fick ha kvar vår postbox hos dem.

Då visste fortfarande ingen var vi satt.

Jag ville fortsätta ha en postbox, berättar Eva.

I december 2023 anmäler Eva till IMY, som inleder ett tillsynsärende i april 2024.

Först därefter, i maj, påbörjas processen om att ändra informationen på förbundets hemsida.

I sitt yttrande till IMY bestred Cykelförbundet att Evas uppgifter behandlats i strid med dataskyddsförordningen.

Det angav även att Eva själv haft behörighet att ändra uppgifterna.

Eva svarade att kunskapen att ändra en uppgift inte betyder att hon var personuppgiftsansvarig, utan att det ansvaret alltid åligger arbetsgivaren.

Cykelförbundet borde ha raderat uppgifterna om Eva på eget initiativ, eftersom det hade kunskap om hennes skyddade identitet, skriver IMY i sitt beslut.

Foto: Mathias Bergeld/Bildbyrån I sitt beslut bedömer IMY att förbundet varit personuppgiftsansvarig i ärendet.

Myndigheten konstaterar också att ord står mot ord vad gäller om Eva inkom med begäran om radering.

Men om en personuppgift behandlats på ett olagligt sätt så kan den personuppgiftsanvarige vara skyldig att radera uppgifter på eget initiativ, och de rekvisiten anses vara uppfyllda.

IMY skriver: "Ett obehörigt röjande av vistelseorten för en person som har skyddad folkbokföring kan medföra omedelbara risker för personens liv och hälsa … förbundets intresse väger förhållandevis lätt, då kontakter mellan intressenter och förbundet kan ske även utan att specifika befattningshavare namnges." Eva känner lättnad och glädje efter IMY:s beslut och att myndigheten bekräftar hennes syn på att personuppgifterna hanterats felaktigt.

– Det positiva beskedet betyder mycket för mig personligen, och jag känner mig stärkt och motiverad att fortsätta framåt efter en lång utdragen process, säger Eva.

IMY anser att överträdelsen inte är så kallat mindre allvarlig, då en reprimand kan utfärdas, utan beslutar att förbundet ska betala en sanktionsavgift.

En sanktionsavgift ska bedömas utifrån årsomsättning och förbundets intäkter för 2024 uppgick till 26 784 440 kronor.

Sanktionsavgiften kunde därmed ha landat på ett miljonbelopp, om fyraprocentsregeln tillämpats, men även maxbeloppet 20 miljoner euro.

Myndigheten gör dock bedömningen att då förbundet är en ideell verksamhet, utan kommersiellt syfte och till stor del finansierad av offentliga bidrag, är en avgift på 50 000 kronor tillräcklig i avskräckande syfte.

Jag är inte ute efter hämnd.

En omorganisation leder till att Eva i juni 2024 sägs upp på grund av arbetsbrist.

Hon ser det som en efterföljande konsekvens av den polisanmälan hon gjorde.

– Cykelförbundet försökte svartmåla mig i svaret till IMY, de försökte påtala att jag har en agenda att skada förbundet.

Jag är inte ute efter hämnd men jag vill gärna att det kommer ut vad de har gjort, säger Eva.

DN har varit i kontakt med Cykelförbundet som i detta läge väljer att inte kommentera Integritetsskyddsmyndighetens beslut.

Med IMY:s beslut som grund kommer Eva nu att gå vidare med en skadeståndsprocess mot Cykelförbundet.

Fakta.Vad en IMY-granskning kan leda till Integritetsskyddsmyndigheten (IMY) kontrollerar att bestämmelserna i dataskydds­förordningen följs.

IMY kan rikta så kallade korrigerande befogenheter mot den som bryter, eller riskerar att bryta mot reglerna.

En varning kan utfärdas om en överträdelse riskerar att äga rum.

En reprimand kan utfärdas vid mindre allvarliga överträdelser.

Ett föreläggande om åtgärder vid behandling av personuppgifter kan utfärdas.

En begränsning av behandlingen samt ett förbud mot behandlingen kan också införas.

Alternativet till korrigerande åtgärder är att ta ut en sanktionsavgift.

Det finns ingen "prislapp" för storleken på sanktionsavgiften för en viss överträdelse.

Spannet är därför mellan 0 kronor och ett maxbelopp.

IMY skiljer på allvarliga och mindre allvarliga överträdelser.

För myndigheter är maxbeloppet 10 miljoner kronor (5 miljoner för mindre allvarliga).

För andra än myndigheter är högsta maxbeloppet 20 miljoner euro eller, om det gäller ett företag, fyra procent av den globala årsomsättningen, beroende på vilket belopp som är högst (10 miljoner euro eller två procent för mindre allvarliga överträdelser).

IMY ska ta hänsyn till om överträdelsen är oaktsam eller avsiktlig, hur lång tid överträdelsen har pågått, hur många som har drabbats, hur stor skadan är samt vad som gjorts för att begränsa skadorna.

Avgiften ska vara en effektiv, proportionell och avskräckande sanktion.

Källa: IMY Visa mer Visa mindre