DOM Meddelad i Stockholm

Transkript

1 KAMMARRÄTTEN Avdelning 1 DOM Meddelad i Stockholm Mål nr KLAGANDE Accountor Sverige AB med bifirma PBK Inkasso, Ombud: Advokat Claes Månsson Brunnsgränd Stockholm MOTPART Datainspektionen Box Stockholm ÖVERKLAGAT AVGÖRANDE Förvaltningsrättens i Stockholm dom den 8 mars 2012 i mål nr , se bilaga A SAKEN Tillämpning av personuppgiftslagen (1998:204) - PuL KAMMARRÄTTENS AVGÖRANDE Kammarrätten avslår överklagandet. Dok.Id Postadress Besöksadress Telefon Telefax Expeditionstid Box 2302 Birger Jarls Torg måndag fredag Stockholm E-post: kammarrattenistockholm@dom.se 08:00-16:00

2 KAMMARRÄTTEN DOM 2 Avdelning 1 Mål nr YRKANDEN M.M. Accountor Sverige AB med bifirma PBK Inkasso Accountor Sverige AB med bifirma PBK Inkasso (bolaget) yrkar att kammarrätten ska undanröja förvaltningsrättens dom och Datainspektionens beslut angående tillsyn enligt PuL. Till stöd för sin talan anför bolaget i huvudsak följande. Datainspektionen saknar rättsligt stöd för att utfärda förelägganden med stöd av bestämmelsen i 45 PuL. Enskilda rättssubjekt kan inte åläggas betungande myndighetsföreskrifter utan lagstöd. Utformningen av Datainspektionens föreläggande brister i precision. Det som inspektionen kräver stark autentisering kan uppnås på olika sätt och bolaget kan självt välja väg. Föreläggandet är dock så bristfälligt att bolaget inte kan efterleva det annat än efter att ha gjort en rad egna antaganden och utredningar. Även om bolaget skulle genomföra kostsamma, tidsödande och krävande säkerhetslösningar är det oklart om dessa skulle leva upp till inspektionens krav. Än mer osäkert är det om en viss vald säkerhetslösning på ett eller några års sikt fortsättningsvis skulle vara tillräcklig. De personuppgifter som behandlas i webbtjänsten utgör inte känsliga uppgifter enligt legaldefinitionen i 13 PuL. Datainspektionen hade som en följd av ordalydelsen i 31 PuL bort precisera vilken säkerhetslösning som krävs beroende på arten av den information som är åtkomlig. Bolaget har tillhandahållit webbtjänster under ett flertal år. Såvitt känt har det inte vid något tillfälle handlagts ett ärende där någon obehörig åtkomst genom användning av inloggningsuppgifter har noterats. Det finns inte någon verklig risk för dataintrång där befintliga användarnamn och lösenord används av någon obehörig. Det framstår som helt orealistiskt att införa krav på skydd mot händelser som enligt vad bolaget känner till aldrig

3 KAMMARRÄTTEN DOM 3 Avdelning 1 Mål nr någonsin inträffat. Det kan ifrågasättas om risken för obehörigt nyttjande skulle vara lägre om identifiering sker genom stark autentisering. En koddosa med tillhörande lösenord kan komma i orätta händer på samma sätt som användarnamn och lösenord. Risken för att någon obehörig får tillgång till informationen är enbart möjlig om användaren är ovarsam i hanteringen av användarnamn och lösenord eller missbrukar inloggningsbehörigheten. Om en användare är ovarsam har det ingen betydelse vilken säkerhetslösning som används. Det åligger den myndighet som utfärdar ett föreläggande att också utreda och överväga kostnaderna som åläggs tillsynsobjektet. Det går inte av Datainspektionens beslut att beräkna kostnaderna för åtgärderna. Känsliga personuppgifter efterfrågas inte i den tjänst som bolaget tillhandahåller. Det förhållandet att bolaget inte kan förutse huruvida en gäldenär också kan komma att lämna känsliga uppgifter via tjänsten medför inte att bolaget kan anses vara personuppgiftsansvarig för behandling av sådana personuppgifter som då skulle kunna förekomma. Det är då fråga om personuppgiftsbehandling med ett helt annat ändamål vilket bolaget inte bestämt. För att det ska finnas ett personuppgiftsansvar krävs att bolaget har beslutanderätt över såväl ändamål som medel. Den serie av åtgärder som kan vidtas inom ramen för bolagets tjänster kan inte betraktas som ett led i bolagets behandling av uppgifter i ett enskilt ärende i de fall besökaren som nyttjar den elektroniska tjänsten vidtar helt andra åtgärder och lämnar helt andra uppgifter än de som efterfrågas. Datainspektionen Datainspektionen vidhåller sitt beslut och anser att överklagandet ska avslås. Inspektionen hänvisar till vad som tidigare anförts och uppger därutöver i huvudsak följande.

4 KAMMARRÄTTEN DOM 4 Avdelning 1 Mål nr Inspektionens beslut är ett uttryckligt föreläggande enligt 45 PuL. Bestämmelsen om säkerhetsåtgärder i 31 PuL är allmänt hållen och anger endast vilka faktorer som ska beaktas vid bedömningen av vad som utgör en lämplig säkerhetsnivå. Det överklagade beslutet har den precision som krävs enligt PuL. Avsikten är att bedömningen ska göras utifrån förutsättningarna i det enskilda fallet och att denna bedömning görs av den personuppgiftsansvarige. Datainspektionen har i uppgift att fylla ut bestämmelsen genom att meddela närmare föreskrifter och lämna råd i säkerhetsfrågor. Det är således inte inspektionens uppgift att peka ut en viss teknisk lösning. I inspektionens beslut som gäller tillämpningen av 31 PuL anges därför en lägsta godtagbar nivå för säkerheten. Bedömningen i förevarande ärende överensstämmer med vad inspektionen i flera fall har ansett vara en lämplig säkerhetsnivå när det gäller överföring av integritetskänsliga personuppgifter i öppna nät. I skälen till beslutet anges exempel på hur stark autentisering kan uppnås, nämligen genom användning av en teknisk funktion som asymmetrisk kryptering (t.ex. e-legitimation), engångslösenord eller liknande. Det är bolagets uppgift som personuppgiftsansvarig att göra en självständig bedömning och välja på vilket sätt den i beslutet angivna säkerhetsnivån ska uppnås. Bolaget kan välja den lösning som det anser är lämpligast så länge som den valda lösningen innebär stark autentisering. Bolaget har även möjlighet att begära samråd med inspektionen och få dess synpunkter på den lösning som bolaget väljer och på de bedömningar som bolaget gör angående lämpliga säkerhetsåtgärder. Stark autentisering medför att det inte är tillräckligt att känna till användarnamn och lösenord. För åtkomst krävs dessutom t.ex. att det etableras kontakt med användarens e-legitimation som kan finnas lagrad på ett kort eller som en fil i användarens dator. Även engångslösenord innebär en högre säkerhet. Det krävs således betydligt mer än att en ovarsam användare råkar sprida sitt användarnamn och lösenord.

5 KAMMARRÄTTEN DOM 5 Avdelning 1 Mål nr Kostnaderna för införande av stark autentisering utgör inte ett hinder för att uppnå den säkerhetsnivå som fordras med hänsyn till uppgifternas art, riskerna med personuppgiftsbehandlingen och tillgänglig teknik. Högsta förvaltningsdomstolen har i ett nyligen avgjort mål ansett att Försäkringskassan är personuppgiftsansvarig för den behandling av personuppgifter som sker innan uppgifterna blir tillgängliga för kassan vid tillhandahållande av en e-tjänst (HFD 2012 ref. 21). I det här aktuella målet tillhandahålls den anvisade kommunikationskanalen gäldenärswebben direkt av bolaget. Bolaget bestämmer ändamålen och medlen för behandlingen genom att tillhandahålla tjänsten och genom att anvisa en kommunikationskanal för gäldenären. Bolaget har därigenom påtagit sig ett personuppgiftsansvar som omfattar även de uppgifter som gäldenärerna lämnar till webbtjänsten. Ansvaret innefattar i vart fall en skyldighet att se till att vidta säkerhetsåtgärder enligt 31 PuL. Det framstår också som rimligt med tanke på att den enskilde användaren inte kan påverka säkerheten i tjänsten. Det kan inte heller ställas krav på den enskilde gäldenären att göra några efterforskningar om tjänsten håller en tillräckligt hög säkerhet. Vidare är det inte rimligt att utgå från att den enskilde gäldenären ska förstå att han eller hon får själv bära ansvaret för säkerheten om han eller hon lämnar uppgifter som inte direkt efterfrågas av bolaget. SKÄLEN FÖR KAMMARRÄTTENS AVGÖRANDE Frågorna i målet är om Datainspektionen haft rätt att i enlighet med 45 PuL fatta beslut om föreläggande, om föreläggandet är tillräckligt preciserat till sin utformning samt om inspektionen haft fog att förelägga bolaget att med stöd av 31 PuL genomföra åtgärder i sin gäldenärswebb som innebär att användarnas identitet, i de fall dessa är fysiska personer, säkerställs med en teknisk funktion som ger en stark autentisering.

6 KAMMARRÄTTEN DOM 6 Avdelning 1 Mål nr Kammarrätten gör beträffande detta följande bedömning 1. Är föreläggandet förenligt med PuL? En första förutsättning för att föreläggandet mot bolaget ska vara förenligt med PuL är att bolaget är personuppgiftsansvarigt. Enligt 3 PuL avses med personuppgiftsansvarig den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Enligt kammarrättens mening är bolaget personuppgiftsansvarigt för den behandling som sker av uppgifter som lämnas av gäldenärerna i den aktuella webbtjänsten (jfr HFD 2012 ref. 21). Detta innebär att bolaget har det ansvar för säkerheten till skydd för personuppgifterna som avses i 31 PuL. Kammarrätten konstaterar att Datainspektionens föreläggande i den del det avser 31 PuL, har till syfte att genom påpekanden och liknande förfaranden åstadkomma rättelse enligt 45 samma lag. Enligt kammarrätten är föreläggandet därför förenligt med PuL. 2. Är föreläggandet tillräckligt preciserat? Datainspektionen har i sitt beslut anvisat en lägsta godtagbar nivå för säkerheten och föreslagit olika tekniska lösningar för att nå detta mål. Stark autentisering kan realiseras på olika sätt. Avsikten är att bedömningen av vilket av alternativen som är lämpligast ska göras av bolaget i egenskap av personuppgiftsansvarig så länge som det valda alternativet innebär en stark autentisering. Bolaget har vidare vid sin bedömning möjlighet att begära samråd med Datainspektionen och på så sätt få inspektionens syn på valet av åtgärd innan denna genomförs.

7 KAMMARRÄTTEN DOM 7 Avdelning 1 Mål nr Föreläggandet får enligt kammarrättens mening anses vara så precist utformat som en tillämpning av 31 PuL kräver. 3. Har Datainspektionen haft fog för sitt föreläggande om säkerhetsåtgärder? Syftet med säkerhetsåtgärderna är enligt 31 PuL att åstadkomma en säkerhetsnivå som är lämplig med beaktande av de tekniska möjligheter som finns, vad det skulle kosta att genomföra åtgärderna, de särskilda risker som finns med behandlingen av personuppgifterna och hur pass känsliga de behandlade personuppgifterna är. Bestämmelsen är avsedd att ha samma innebörd som bl.a. artikel 17.1 i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet) (se prop. 1997/98:44 s. 136). I nämnda artikel anges att genomförandet av säkerhetsåtgärder är särskilt viktigt om behandlingen av personuppgifter innefattar överföring av uppgifter i ett nätverk. Vidare ska bedömningen av lämplig säkerhetsnivå göras bl.a. med hänsyn till arten av uppgifterna. Det aktuella föreläggandet har motiverats med att bolaget hanterar känsliga uppgifter. Vad som är känsliga personuppgifter definieras i 13 PuL. Det slag av uppgifter som behandlas i den i målet aktuella gäldenärswebben, nämligen sådana som gäller enskilda personers personliga och ekonomiska förhållanden, är inte angivna i lagrummet. Kammarrätten konstaterar emellertid - i likhet med förvaltningsrätten - att dylika uppgifter ändå i många sammanhang kan vara av särskilt känslig natur. Högsta förvaltningsdomstolens uttalanden i RÅ 2010 ref. 19 och bestämmelserna om tystnadsplikt och sekretess i annan lagstiftning illustrerar detta. Kammarrätten anser att den personuppgiftsbehandling som sker i den aktuella webbtjänsten är av känslig art eftersom den avser uppgifter om enskildas personliga och ekonomiska förhållanden. De negativa

8 KAMMARRÄTTEN DOM 8 Avdelning 1 Mål nr konsekvenserna för enskildas personliga integritet kan bli stora om uppgifterna i fråga skulle komma någon obehörig till del. Härvidlag ska särskilt beaktas att behandlingen innefattar överföring av uppgifter i ett nätverk som kan få stor spridning på Internet. Bolaget är som personuppgiftsansvarig skyldigt att vidta de säkerhetsåtgärder som krävs enligt 31 PuL för att skydda de uppgifter som behandlas i gäldenärswebben. Som nyss bedömts anser kammarrätten att uppgifterna är av känslig natur. Bolaget har alltså att se till att användarnas identitet säkerställs med en teknisk funktion som ger en stark autentisering för åtkomsten till gäldenärswebben. Tillvägagångssättet för att komma åt webben som hittills nyttjats, nämligen användarnamn och lösenord, uppfyller enligt kammarrättens bedömning inte det krav på en tillräcklig säkerhetsnivå som ställs upp i 31 PuL. Datainspektionen har angett att tillräcklig säkerhet kan nås genom att användarnas identitet säkerställs genom en teknisk funktion som t.ex. asymmetrisk kryptering (t.ex. e-legitimation), engångslösenord eller liknande för åtkomst till uppgifterna i webbtjänsten. Bolaget kan som tidigare framhållits välja någon av de lösningar som Datainspektionen har angett så länge det valda alternativet innebär stark autentisering. Kammarrätten anser sammanfattningsvis att Datainspektionen har haft fog för sitt beslut. Vad bolaget har anfört om kostnaderna för åtgärderna i fråga föranleder ingen annan bedömning. Överklagandet ska därför avslås.

9 KAMMARRÄTTEN DOM 9 Avdelning 1 Mål nr HUR MAN ÖVERKLAGAR, se bilaga B (formulär 1). Anita Linder Birgit Råberg Mona Aldestam kammarrättsråd kammarrättsråd kammarrättsråd ordförande referent Johanna Wasteson föredragande

10 FÖRVALTNINGSRÄTTEN Allmänna avdelningen DOM Meddelad i Stockholm Mål nr Enhet 10 Bilaga A 1 KLAGANDE PBK Inkasso AB Box Stockholm Ombud: Advokat Claes Månsson Advokatfirman Åberg & Co AB Box Stockholm MOTPART Datainspektionen Box Stockholm ÖVERKLAGAT BESLUT Datainspektionens beslut , bilaga 1 Dnr SAKEN Bedömning av stark autentisering i en gäldenärswebb enligt 4 inkassolagen (1974:182) och 31 personuppgiftslagen (1998:204) -PuL DOMSLUT Förvaltningsrätten bifaller överklagandet delvis och förklarar att Datainspektionens beslut avseende stark autentisering med hänvisning till inkassolagen ska undanröjas. I övrigt avslås överklagandet. Dok.Id Postadress Besöksadress Telefon Telefax Expeditionstid Tegeluddsvägen måndag fredag Stockholm E-post: 09:00-15:00 forvaltningsrattenistockholm@dom.se

11 FÖRVALTNINGSRÄTTEN Allmänna avdelningen DOM BAKGRUND, YRKANDEN M.M. Datainspektionen beslutade den 14 september 2010 att med stöd av 31 PuL samt 4 inkassolagen förelägga PBK Inkasso AB (bolaget) att genomföra åtgärder i sin gäldernärswebb som innebär att användarnas identitet (fysiska personer gällande PuL) säkerställs med en teknisk funktion som ger stark autentisering. Skälen för beslutet framgår av bilaga 1. Bolaget yrkar att Datainspektionens beslut ska undanröjas. Bolaget yrkar även att Datainspektionens beslut i de delar som avser juridiska personer bör undanröjas oavsett utgången i målet i övrigt. Till stöd för sin talan har bolaget anfört bl.a. följande. I 13 PuL finns en uttömmande definition på begreppet känsliga personuppgifter. Personuppgifter som faller utanför definitionen är således av lagstiftaren bedömda som varande av annat slag än känsliga. Det förhållandet att inkassolagen innehåller en bestämmelse om tystnadsplikt synes också av inspektionen åberopas till stöd för att uppgifter i inkassoverksamhet i allmänhet ska betraktas som känsliga. Bestämmelsen om sekretess återfinns i 11 inkassolagen. Bestämmelsen synes ha hämtat sin förebild i banksekretessen såsom denna utformats i bankrörelselagen (1974:182). Där är obehörighetsbegreppet avgörande för om uppgifter får lämnas ut eller inte. Ett utlämnande av uppgifter till den som uppgifterna berör kan inte vara obehörigt. Förefintligheten av inkassosekretess kan alltså inte i sig i detta sammanhang utgöra grund för att betrakta de uppgifter som presenteras på en gäldenärswebb som känsliga. Därmed är det bolagets bedömning att skyddsvärdet inte är av sådan art att lagen kräver mer utvecklade skyddsåtgärder än de som redan används av bolaget. Vid bestämmande om en teknisk funktion som ger stark autentisering bör också vägas in tekniska möjligheter, aktuell riskbild samt kostnader. Det är

12 FÖRVALTNINGSRÄTTEN Allmänna avdelningen DOM också av vikt att beakta om gäldenärer tillförs information på annat sätt samt behov av information mellan olika parter. Vad avser risker så kan anföras att en hacker inte hindras åtkomst genom komplicerade inloggningsrutiner utan av databasens konstruktion i sig. Det kan inte åligga utställaren av ett lösenord att skydda säkrad information mot olagliga angrepp. Någon ökad risk för att någon obehörig kommer åt inloggningslösen torde inte föreligga med tanke på att uppgifter med gäldenärsinformation av aktuellt slag alltid översänds via vanlig postgång där riskerna för olovlig åtkomst är minst lika stor eller större än vid presentation på en lösenordsskyddad gäldenärswebb. Även via telefon och e-post sker överföring av sådan information som ges på gäldenärswebbarna. Därmed tillför inte presentationen på gäldenärswebbar något nytt riskmoment. Det finns också ett samhällsbehov av informationsöverföring via webblösningar. I de fall krav på stark autentisering införs i dessa fall, så kommer kontakt via gäldenärswebbar att upphöra till dess den tekniska utvecklingen tagit sådan fart att mer avancerade indentifieringsmetoder finns enkelt och allmänt tillgängliga till lägre priser. Nu är det huvudsakligen det allmänna och banker som nyttjar e-legitimationen i någon vidare utsträckning. Alla e-legitimationsmetoder är inte accepterade och kostnaderna, som inte framstår som rimliga i sammanhanget, är betydande. Därför råder för närvarande osäkerhet kring e-legitimation. Det är inte heller helt enkelt som privatperson att skaffa e- legitimation och det är inte en lösning som passar den grupp av människor som blir aktuella hos inkassobolaget. Datainspektionen anser inte att deras beslut ska ändras och tillägger bl.a. följande. Inspektionen har konstaterat att bolagets hantering har skett i strid med god inkassosed. Detta är överklagbart, se Kammarrätten i Stockholm i ett beslut den 23 januari 2002, mål nr När det gäller uppgifternas känslighet kan 13 PuL användas som ledning för bedömningen men är inte ensamt avgörande. Enligt artikel 17 i EG-

13 FÖRVALTNINGSRÄTTEN Allmänna avdelningen DOM direktivet 95/46/EG ska bedömning av lämplig säkerhetsnivå göras med hänsyn till bl.a. arten av uppgifterna. Därmed kan man inte, som bolaget vill göra gällande, hävda att det bara är uppgifter som räknas upp i 13 PuL som är skyddsvärda. Uppgifter om en persons ekonomi är inte automatiskt att betrakta som integritetskänsliga men i sitt sammanhang kan ekonomiska uppgifter vara integritetskänsliga och skyddsvärda. Detta tar sig uttryck i att ekonomiska uppgifter ges skydd genom sekretess och tystnadsplikt eller annan lagstiftning. Ekonomiska förhållanden skyddas särskilt mot utlämnanden i offentlighets- och sekretesslagen (2009:400) samt i kreditupplysningslagen (1973:1173). Lagstiftaren har genom att införa en tystnadsplikt i inkassolagen ansett att uppgifterna är skyddsvärda. Även Högsta Förvaltningsdomstolen har i sin bedömning tagit hänsyn till personuppgifters känslighet utan att uppgifterna varit känsliga enligt definitionen i 13 PuL (se RÅ 2010 ref. 19). Inspektionen håller med om att det finns vissa risker förenade med annan kommunikation av ekonomisk information som sker förutom via nätet (telefon, vanlig postgång). Datainspektionen ställer dock krav även på denna hantering. Därtill är det Datainspektionens uppfattning att e- legitimation i högsta grad är en tillgänglig teknik och undersökning visar bl.a. att i åldersgruppen år hade över 50 % av befolkningen en e- legitimation. De krav som nu inspektionen ställer på dessa inkassoföretag är nya och någon tillsyn har ännu inte gjorts av t.ex. banker och andra e- handelsbolag, dock bör kraven inte vara lägre för att en företeelse är ny. DOMSKÄL Tillämpliga bestämmelser m.m. Av 13 PuL följer att det är förbjudet att behandla personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, eller medlemskap i fackförening. Vidare anges i andra stycket samma bestämmelse att det också är förbjudet att behandla sådana personuppgifter som rör hälsa eller sexualliv. I tredje stycket samma

14 FÖRVALTNINGSRÄTTEN Allmänna avdelningen DOM bestämmelse anges att uppgifter av den art som anges i första och andra styckena betecknas i denna lag som känsliga personuppgifter. I 45 PuL första stycket anges bl.a. att om tillsynsmyndigheten konstaterar att personuppgifter behandlas eller kan komma att behandlas på ett olagligt sätt, skall myndigheten genom påpekanden eller liknande förfaranden försöka åstadkomma rättelse. I 51 PuL anges att tillsynsmyndighetens beslut enligt denna lag om annat än föreskrifter får överklagas hos allmän förvaltningsdomstol. I 11 inkassolagen anges bl.a. följande. Den som är eller har varit verksam i en inkassoverksamhet som avser indrivning av fordringar för någon annans räkning eller fordringar som har övertagits för indrivning får inte obehörigen röja eller utnyttja vad han eller hon till följd därav har fått veta om enskildas personliga förhållanden eller om yrkes- eller affärshemligheter. I 13 inkassolagen anges att Datainspektionen utövar tillsyn över efterlevnaden av denna lag. I 19 inkassolagen anges att Datainspektionens beslut enligt denna lag får överklagas hos allmän förvaltningsdomstol. De i målet övriga aktuella bestämmelserna i PuL och inkassolagen redovisas i Datainspektionens beslut, se bilaga 1. Förvaltningsrättens bedömning Förvaltningsrätten konstaterar inledningsvis att den del av beslutet där Datainspektionen hänvisar till 31 PuL är ett uttryckligt föreläggande enligt 45 PuL som är överklagbart enligt 51 PuL. Den del av beslutet där Datainspektionen hänvisar till inkassolagen ska enligt förvaltningsrättens mening ses som ett uttalande med en sådan styrande effekt att det kan likställas med ett föreläggande. Därmed är det att se som ett beslut där Datainspektionen utövar tillsyn över inkassolagen, vilket är överklagbart enligt 13 och 19 inkassolagen. Förvaltningsrätten har därefter att ta ställning till om det i målet är fråga om sådana känsliga uppgifter att förelägganden enligt PuL samt inkasso-

15 FÖRVALTNINGSRÄTTEN Allmänna avdelningen DOM lagen aktualiseras. För det fall det rör sig om sådana känsliga uppgifter, har förvaltningsrätten därefter att ta ställning till om inkassobolaget har haft behov av en stark autentisering för överföring av uppgifterna i öppna nätverk för att anses ha handlat i enlighet med god inkassosed enligt inkassolagen samt ha uppfyllt kraven på tillräcklig säkerhet i PuL. Känsliga uppgifter Bolaget har inrättat en s.k. gäldenärswebb, vilket är en databas med åtkomstmöjlighet via Internet. I denna gäldenärswebb finns information som hämtats från bolagets gäldenärsregister. Åtkomsten till gäldenärswebben är skyddad via användarnamn och lösenord. De uppgifter som görs tillgängliga via gäldenärswebben är gäldenärens grundläggande kontaktuppgifter, en skuldbild för respektive ärende samt en samlad skuldbild. Gäldenären bereds också vissa kommunikationsmöjligheter via gäldenärswebben. Bolaget har anfört att den information som lämnas via gäldenärswebben inte är så känslig att det krävs stark autentisering för utlämnande. Detta främst med hänsyn till att 13 PuL ska ses som uttömmande. Förvaltningsrätten finner i likhet med inspektionen att 13 PuL inte är uttömmande i en situation som denna. Uppgifter om en persons ekonomi är visserligen inte automatiskt att ses som känsliga uppgifter men i inkassosammanhang får de ändå anses vara integritetskänsliga och skyddsvärda och ett visst stöd kan hämtas från RÅ 2010 ref. 19 och annan lagstiftning såsom offentlighets- och sekretesslagen, kreditupplysningslagen samt inkassolagen. God inkassosed Datainspektionen har hänvisat till 11 inkassolagen då de kommit fram till slutsatsen att god inkassosed även omfattar en stark autentisering i en

16 FÖRVALTNINGSRÄTTEN Allmänna avdelningen DOM situation som föreligger i målet. Bolaget har anfört att den befintliga tekniska lösningen som bolaget har är fullt tillräcklig för att motsvara god inkassosed. Vad som är god inkassosed framgår av 5-11 inkassolagen. De förarbeten och praxis som finns på området (se bl.a. prop. 1974:42 sid 40 och Kammarrätten i Stockholm i dom meddelad den 11 mars 2011, mål nr samt Förvaltningsrätten i Stockholm i dom meddelad den 17 juni 2009, mål nr ) är inte tillämpliga på förhållandena i detta mål. Genom att hänvisa till 11 inkassolagen framstår det som att Datainspektionen menar att det förfarande som bolaget använder för sin gäldenärswebb innebär ett obehörigt röjande av uppgifter som skulle strida mot god inkassosed. Bestämmelsen om förbud mot obehörigt röjande är en förlängning av den tystnadsplikt som även råder i andra lagstiftningar (se prop. 2008/09:150 s. 361). Det är förvaltningsrättens mening att ett system där ett inkassobolag lämnar ut ekonomisk information till en gäldenär via en gäldenärswebb och där åtkomsten skyddas via användarnamn och lösenord inte utgör ett obehörigt röjande av uppgifter enligt 11 inkassolagen. Därmed anser förvaltningsrätten att Datainspektionen, som får anses ha bevisbördan för att bolaget brutit mot god inkassosed enligt 4 inkassolagen, inte gjort sannolikt att bolagets rutiner strider mot god inkassosed. Vad som anges i Datainspektionens allmänna råd Tillämpning av inkassolagen vilka refereras till i det överklagade beslutet, föranleder ingen annan bedömning. Tillräcklig säkerhet Enligt 31 PuL ska säkerhetsåtgärder vidtas för att skydda de personuppgifter som behandlas. Frågan i förevarande mål är om de åtgärder som vidtagits av bolaget ska anses tillräckliga. I bedömningen

17 FÖRVALTNINGSRÄTTEN Allmänna avdelningen DOM enligt PuL ska en sammanvägning ske utifrån risker, omvärldsbehov, tekniska möjligheter samt rimliga kostnader. Förvaltningsrätten finner i likhet med Datainspektionen att de krav som ställs enligt PuL även innefattar ett krav på stark autentisering utifrån de rådande omständigheterna i målet. Detta då det blir en stor skillnad i risk mellan att vidta åtgärder för autentisering i jämförelse med stark autentisering. Vid denna riskbedömning är det enligt förvaltningsrättens mening av underordnad betydelse hur risken vid överföring av information genom övriga kanaler ser ut. Det är också fråga om sådana känsliga uppgifter som är skyddsvärda även med beaktande av samhällets behov av en snabb webb-baserad kommunikationskanal. Datainspektionen har angett att en tillräcklig säkerhet kan åstadkommas genom att användarnas identitet säkerställs med en teknisk funktion genom exempelvis asymmetrisk kryptering (t.ex. e-legitimation) eller engångslösenord. En stark autentisering innebär således att identiteten ska säkerställas mot något utöver ett personligt lösenord (dubbla identifieringsåtgärder). Det är förvaltningsrättens mening att den tekniska utvecklingen är sådan, att det byte av system som en stark autentisering innebär, inte nödvändigtvis medför en orimlig ökning av kostnad för bolaget. Bolaget har inte heller visat hur stora kostnader ett byte av system skulle innebära. Enligt ovanstående resonemang anser förvaltningsrätten således att Datainspektionen har haft fog för sitt beslut i den del den avser föreläggandet enligt PuL. Däremot anser förvaltningsrätten att Datainspektionen inte har haft fog för sitt konstaterande enligt inkassolagen och därmed ska överklagandet bifallas i denna del på så sätt att Datainspektionens beslut i den delen ska undanröjas. Med anledning av delvis bifall i målet bortfaller bolagets särskilda yrkande om undanröjande av beslut avseende juridiska personer.

18 FÖRVALTNINGSRÄTTEN Allmänna avdelningen DOM HUR MAN ÖVERKLAGAR, se bilaga 2 (DV 3109/1a) Ingrid Utne Rådman I målet har även deltagit nämndemännen Helena Johansson, Per-Erik Nyholm samt Bo Kahn. Enhälligt. Föredragande har varit Åsa K Nilsson.

19 Bilaga 2 HUR MAN ÖVERKLAGAR - PRÖVNINGSTILLSTÅND DV 3109/1A Producerat av Domstolsverket Den som vill överklaga förvaltningsrättens beslut ska skriva till Kammarrätten i Stockholm. Skrivelsen ska dock skickas eller lämnas till förvaltningsrätten. Överklagandet ska ha kommit in till förvaltn ingsrätten inom tre veckor från den dag då klaganden fick del av beslutet. Tiden för överklagandet för offentligpart räknas emellertid från den dag beslutet meddelades. Om sista dagen för överklagandet infaller på lördag, söndag eller helgdag, midsommarafton, julafton eller nyårsafton räcker det att skrivelsen kommer in nästa vardag. För att ett överklagande ska kunna tas upp i kammarrätten fordras att prövningstillstånd meddelas. Kammarrätten lämnar prövningstillstånd om det är av vikt för ledning av rättstillämpningen att överklagandet prövas, anledning förekommer till ändring i det slut vartill förvaltningsrätten kommit eller det annars finns synnerliga skäl att pröva överklagandet. Om prövningstillstånd inte meddelas står förvaltningsrättens beslut fast. Det är därför viktigt att det klart och tydligt framgår av överklagandet till kammarrätten varför man anser att prövningstillstånd bör meddelas. Skrivelsen med överklagande ska innehålla 1. den klagandes namn, personnummer, yrke, postadress och telefonnummer. Dessutom ska adress och telefonnummer till arbetsplatsen och eventuell annan plats där klaganden kan nås för delgivning lämnas om dessa uppgifter inte tidigare uppgetts i målet. Om någon person- eller adressuppgift ändras är det viktigt att anmälan snarast görs till kammarrätten, 2. det beslut som överklagas med uppgift om förvaltningsrättens namn, målnummer samt dagen för beslutet, 3. de skäl som klaganden anger till stöd för begäran om prövningstillstånd, 4. den ändring av förvaltningsrättens beslut som klaganden vill få till stånd, 5. de bevis som klaganden vill åberopa och vad han/hon vill styrka med varje särskilt bevis. Skrivelsen ska vara undertecknad av klaganden eller hans ombud. Adressen till förvaltningsrätten framgår av beslutet. Om klaganden anlitar ombud ska denne sända in fullmakt i original samt uppge sitt namn, adress och telefonnummer.

20 Bilaga B Bilaga HUR MAN ÖVERKLAGAR Den som vill överklaga kammarrättens avgörande ska skriva till Högsta förvaltningsdomstolen. Skrivelsen ställs alltså till Högsta förvaltningsdomstolen men ska skickas eller lämnas till kammarrätten. Överklagandet ska ha kommit in till kammarrätten inom tre veckor från den dag då klaganden fick del av beslutet. Tiden för överklagande för det allmänna räknas dock från den dag beslutet meddelades. Om sista dagen för överklagande infaller på en lördag, söndag eller helgdag, midsommar-, jul- eller nyårsafton, räcker det att skrivelsen kommer in nästa vardag. För att ett överklagande ska kunna tas upp i Högsta förvaltningsdomstolen fordras att prövningstillstånd meddelas. Högsta förvaltningsdomstolen lämnar prövningstillstånd om det är av vikt för ledning av rättstillämpningen att talan prövas eller om det föreligger synnerliga skäl till sådan prövning, såsom att grund för resning föreligger eller att målets utgång i kammarrätten uppenbarligen beror på grovt förbiseende eller grovt misstag. Om prövningstillstånd inte meddelas står kammarrättens beslut fast. Det är därför viktigt att det klart och tydligt framgår av överklagandet till Högsta förvaltningsdomstolen varför man anser att prövningstillstånd bör meddelas. Skrivelsen med överklagande ska undertecknas av klaganden eller dennes ombud och ges in i original samt innehålla följande uppgifter; 1. den klagandes namn, personnummer/organisationsnummer, yrke, postadress och telefonnummer. Dessutom ska adress och telefonnummer till arbetsplatsen och eventuell annan plats där klaganden kan nås för delgivning lämnas om dessa uppgifter inte tidigare uppgetts i målet. Om någon person- eller adressuppgift ändras är det viktigt att anmälan snarast görs till Högsta förvaltningsdomstolen 2. det beslut som överklagas med uppgift om kammarrättens namn, målnummer samt dagen för beslutet 3. de skäl som klaganden vill åberopa för sin begäran om att få prövningstillstånd 4. den ändring av kammarrättens beslut som klaganden vill få till stånd och skälen för detta 5. de bevis som klaganden vill åberopa och vad han/hon vill styrka med varje särskilt bevis. DV 681 Formulär 1