Informationsskyldighet vid tillhandahållande av Minicall-tjänst

Transkript

1 BESLUT 1(5) Datum Vår referens Aktbilaga Dnr: Nätsäkerhetsavdelningen Karin Malmberg Generic Mobile Systems Sweden AB Box Nacka Informationsskyldighet vid tillhandahållande av Minicall-tjänst Saken Tillsyn avseende rapportering av integritetsincident och avseende information om särskild risk vid tillhandahållande av Minicall-tjänster; nu fråga om avskrivning. Post- och telestyrelsens avgörande Post- och telestyrelsen (PTS) avskriver ärendet från vidare handläggning. Bakgrund Den 8 juni 2012 inkom Generic Mobile Systems Sweden AB (Generic) med en incidentrapport till PTS vari bolaget informerade om att meddelanden i personsökningstjänsten Minicall sedan augusti 2010 avlyssnats, avkodats och publicerats i klartext på en publik webbplats. Minicall-tjänsten används enligt Generic till stor del av abonnenter inom Polisen, akutvården, räddningstjänsten och liknande samhällsviktiga aktörer. Den information som publicerades vid incidenten innehöll därför känsliga uppgifter såsom larminformation, information om pågående utryckningar, personuppgifter om sjukdomar etc. Mot bakgrund av incidentrapporten beslöt PTS den 18 september 2012 att inleda tillsyn mot bolaget. Inom ramen för tillsynen bereddes Generic tillfälle att vid möte med PTS närmare beskriva bland annat sin Minicall-tjänst och den inträffade integritetsincidenten. Generic uppgav då att Minicall använder ett protokoll som är en öppen standard för utsändning via radio och att det är tämligen enkelt att med hjälp av en scanner, dator och mjukvara avlyssna och avkoda protokollet och läsa alla meddelanden som förmedlas i tjänsten. Post- och telestyrelsen Postadress: Besöksadress: Telefon: Box 5398 Valhallavägen 117 Telefax: Stockholm pts@pts.se

2 2(5) Det framgick vidare att Generic inte informerat sina abonnenter om den risk för avlyssning och avkodning som är förenad med tillhandahållandet av Minicall-tjänsten. Generic hade inte heller informerat berörda abonnenter och användare om den ovan beskrivna incidenten. Den 9 oktober 2012 underrättade PTS Generic om att myndigheten funnit skäl att misstänka att bolaget inte efterlevde regleringen om rapportering av integritetsincidenter och om skyldigheten att informera abonnenter om särskilda risker för bristande skydd av behandlade uppgifter (nedan kallad Underrättelsen). I Underrättelsen uppmanades Generic att: 1. informera samtliga Minicall-abonnenter om den särskilda risk som är förenad med tillhandahållandet av Minicall, samt informera om hur och till vilken ungefärlig kostnad risken kan avhjälpas, och 2. informera berörda Minicall-abonnenter och användare om den integritetsincident som inträffat. Den 14 december 2012 inkom Generic med bekräftelse på att bolaget följt Underrättelsen och uppgav att bolaget nu informerar abonnenter om den särskilda risken med Minicall-tjänsten genom: - information på fakturan (vid fall då fakturarelation finns), - elektroniskt nyhetsbrev till abonnenter (vid fall då e-postadresser registrerats), - elektroniskt nyhetsbrev till återförsäljare, - information på Generics webbplats, både som en nyhet och som permanent information, - muntlig information till nya kunder via kundtjänst, och - information i de uppdaterade allmänna villkoren (gällande från och med 1 mars 2013, dock publicerade som en nyhet på webbplats per den 20 december 2012). Generic har även per den 14 december 2012 informerat berörda abonnenter och användare om den inträffade integritetsincidenten genom: - elektroniskt nyhetsbrev till abonnenter (vid fall då e-postadresser registrerats), - elektroniskt nyhetsbrev till återförsäljare, och - information på Generics webbplats som en nyhet. Kopior av samtliga informationsåtgärder har även lämnats till PTS. Post- och telestyrelsen 2

3 3(5) Skäl Tillämpliga bestämmelser I 6 kapitlet lagen (2003:389) om elektronisk kommunikation (LEK) finns regler om integritetsskydd vid tillhandahållande av elektroniska kommunikationstjänster. 6 kap. 3 LEK innehåller en bestämmelse om att den som tillhandahåller en allmänt tillgänglig elektronisk kommunikationstjänst ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa att uppgifter som behandlas i tjänsten skyddas. Åtgärderna ska vara ägnade att säkerställa en nivå som, med beaktande av tillgänglig teknik och kostnaderna för att genomföra åtgärderna, är anpassad till risken för integritetsincidenter. Enligt 6 kap. 4 LEK gäller att, om det vid tillhandahållandet av en allmänt tillgänglig elektronisk kommunikationstjänst finns särskild risk för bristande skydd av behandlade uppgifter, så ska tillhandahållaren informera abonnenterna om risken. Förutsatt att tjänsteleverantören inte själv är skyldig att avhjälpa risken enligt 6 kap. 3 LEK, ska denne även informera abonnenterna om hur och till vilken ungefärlig kostnad risken kan avhjälpas. Vidare gäller enligt 6 kap. 4 a LEK att den som tillhandahåller en allmänt tillgänglig elektroniskt kommunikationstjänst ska underrätta PTS om integritetsincidenter som inträffat vid tillhandahållande av tjänsten. Utöver underrättelse till PTS ska tjänsteleverantören även underrätta berörda abonnenter och användare om integritetsincidenten, under förutsättning att incidenten kan antas inverka negativt på de abonnenter eller användare som de behandlade uppgifterna berör, eller om PTS begär det. PTS har utfärdat föreskrifter, Post- och telestyrelsens föreskrifter och allmänna råd om underrättelse om integritetsincidenter samt innehållet i förteckning över integritetsincidenter (PTSFS 2012:1) (nedan kallade föreskrifterna), som närmare beskriver hur information till PTS och berörda abonnenter och användare vid integritetsincidenter ska lämnas. Enligt 7 föreskrifterna ska informationen som lämnas till en abonnent eller användare innehålla: 1. datum då integritetsincidenten inträffade, 2. en beskrivning av integritetsincidenten, 3. bedömda konsekvenser för abonnenten eller användaren, 4. de åtgärder som vidtagits eller kommer att vidtas och som påverkar abonnenten eller användaren, 5. rekommenderade åtgärder som abonnenten eller användaren bör vidta för att begränsa sin skada, 6. tjänstetillhandahållarens kontaktuppgifter, och 7. referensnummer kopplat till tjänstetillhandahållarens förteckning över integritetsincidenter. Post- och telestyrelsen 3

4 4(5) PTS bedömning Generic har vid möte med PTS uppgivit att man inte hade kännedom om skyldigheten att informera abonnenter om att det föreligger en särskild risk vid tillhandahållandet av tjänsten. Tillhandahållare av allmänt tillgängliga elektroniska kommunikationstjänster förväntas dock hålla sig informerade om tillämpliga lagregler. Efter att PTS underrättat Generic har bolaget inkommit med bekräftelse på att bolaget nu genomfört de åtgärder som angivits i Underrättelsen och i detalj beskrivit dessa åtgärder. Informationen som sedan den 14 december 2012 lämnas till Minicall-tjänstens abonnenter avseende den särskilda risk som är förenad med tillhandahållandet av tjänsten innehåller en beskrivning av tjänstens sårbarhet för avkodning, samt information om att abonnenterna kan öka sitt skydd mot avkodning av meddelanden genom att använda sig av en krypteringstjänst. Genom att uppdatera sina allmänna villkor med information om risken, och genom att informera nya abonnenter via kundtjänst, har bolaget genomfört åtgärder för att även framtida Minicall-abonnenter ska få information om risken. Informationen som sedan den 14 december 2012 lämnas till berörda abonnenter och användare avseende den inträffade integritetsincidenten innehåller samtliga de ovan listade punkterna som 7 föreskrifterna kräver. Mot bakgrund av Generics genomförda åtgärder, vilka redovisats ovan, gör PTS bedömningen att bolaget har följt Underrättelsen i sin helhet. Bolaget har informerat samtliga sina abonnenter, även framtida, om den särskilda risken som föreligger vid tillhandahållande av Minicall-tjänsten och har, genom att informera om att abonnenterna kan använda sig av en krypteringstjänst, även uppfyllt sin skyldighet att informera om hur och till vilken ungefärlig kostnad risken med tjänsten kan avhjälpas. Generic har även i enlighet med föreskrifterna informerat berörda abonnenter och användare om den inträffade integritetsincidenten. Skäl att vidta ytterligare tillsynsåtgärder i detta ärende föreligger därför inte. Ärendet avskrivs därmed från vidare handläggning. Post- och telestyrelsen 4

5 5(5) Beslutet har fattats av enhetschefen Patrik Bystedt. I ärendets slutliga handläggning har även Karin Malmberg (föredragande) deltagit. Post- och telestyrelsen 5