Datum Diarienr 2012-09-12 1614-2011 Svenska Handelsbanken AB Lars Lindgren 106 70 Stockholm Tillsyn enligt personuppgiftslagen (1998:204) bankers användning av s.k. appar Datainspektionens beslut Datainspektionen konstaterar att Svenska Handelsbanken AB inte uppfyller sin skyldighet att självmant informera de registrerade om behandlingen av deras personuppgifter enligt 23-25 personuppgiftslagen. Datainspektionen konstaterar vidare att Svenska Handelsbanken AB inte lever upp till kraven på säkerhetsåtgärder enligt 31 personuppgiftslagen genom att man via bankens appar kommer åt integritetskänsliga personuppgifter efter autentisering med enbart användarnamn och lösenord. Datainspektionen förelägger Svenska Handelsbanken AB att senast den 21 december 2012 komma in med en skriftlig åtgärdsplan. I åtgärdsplanen ska banken redogöra för a) vilka konkreta åtgärder banken avser att vidta för att uppfylla sin skyldighet att självmant informera de registrerade enligt 23-25 personuppgiftslagen, b) vilka konkreta åtgärder banken avser att vidta för att leva upp till kraven på säkerhetsåtgärder enligt 31 personuppgiftslagen, c) på vilka grunder banken bedömer att åtgärderna under b) är verkningsfulla och tillräckliga samt d) när åtgärderna under a) respektive b) kan vara vidtagna. Redogörelse för tillsynsärendet Med de senaste årens ökning av s.k. smarta telefoner har användningen av program, s.k. appar, som kan laddas ner till dessa telefoner ökat explosionsartat. För att få ökad kunskap kring denna företeelse och på vilket sätt användningen av appar kan påverka den personliga integriteten inledde Datainspektionen ett projekt. Inom ramen för projektet har behandlingen av personupp- Postadress: Box 8114, 104 20 Stockholm E-post: datainspektionen@datainspektionen.se Besöksadress: Drottninggatan 29, plan 5 Telefon: 08-657 61 00 Webbplats: www.datainspektionen.se Telefax: 08-652 86 52
gifter och säkerheten för personuppgifterna i appar för mobiltelefoner med operativsystemen ios från Apple (iphone) och Android från Google granskats genom inspektioner hos tre banker. Vid inspektionen hos Svenska Handelsbanken AB (nedan Handelsbanken) och i den efterföljande kommunikationen har i huvudsak följande framkommit. Alla kan ladda ner Handelsbankens appar. Det är bara användaren som kan starta appen. Uppgifter kan bara samlas in då användaren har slagit på appen. Endast Handelsbanken kan få tillgång till personuppgifter genom appen. Funktionen Sök kontor kräver ingen inloggning. Första gången användaren använder funktionen i en iphone-app kommer det upp en ruta med texten SHB vill använda din nuvarande plats och man kan välja Tillåt inte eller Ok. Handelsbanken sparar inte information relaterad till tjänsten Sök kontor på något sätt. För att använda andra funktioner än Sök kontor krävs att användaren har tillgång till Handelsbankens internetbank. Användaren ansöker om mobiltjänsten via internetbanken eller på ett bankkontor och tecknar då ett avtal med Handelsbanken enligt Allmänna villkor för Handelsbankens telefontjänster Privat. Efter inloggning kan användaren se kontonamn, kontonummer, saldo, kommande, stoppade och genomförda transaktioner (innehållande kontonummer, belopp och datum, egna anteckningar, meddelande till mottagaren), fördefinierade mottagare/mottagarkonton samt e- fakturor. I de fall inloggning krävs sker autentiseringen med personnummer och en fyrsiffrig pinkod. Pinkoden har användaren fått från banken eller själv valt via sin internetbank. Själva pinkoden skickas inte vid inloggningen, utan endast siffrornas temporära koordinater på skärmen. Följande behörigheter (API:er) är påkopplade i Handelsbankens appar: Ringa telefonnummer direkt används i funktionen SHB Direkt som är till för att användaren ska kunna ringa Handelsbankens support via appen. Då användaren trycker på ikonen för tjänsten aktiveras mobiltelefonens telefonfunktion och telefonnumret till bankens support matas in med automatik. Ta bilder och spela in videoklipp används för att användaren ska kunna använda sin mobilkamera för att fotografera OCR-nummer i Sida 2 av 11
stället för att mata in det manuellt. Användaren aktiverar kameran genom att trycka på en ikon. Hitta plats (GPS) används i funktionen Sök kontor. Fullständig internetåtkomst Internetåtkomst är en förutsättning för att kunna använda vissa av apparnas funktioner. IP-adresser används vid kommunikationen. Läsa kontaktinformation används i funktionen Ladda kontantkort. I stället för att användaren knappar in det telefonnummer vars kontantkort ska laddas kan användaren välja att hämta telefonnumret från sin kontaktlista. Läsa telefonstatus och identitet används för att läsa teknisk information om använt operativsystem och telefonmodell. Denna information loggas i systemloggen. Informationen kan inte förknippas med en individ. Det går inte att i efterhand läsa vilken telefonmodell eller vilket operativsystem en viss individ har använt. Ändamålet är att ge statistik som används vid utveckling och support av tjänsterna. Ändra/ta bort innehållet på SD-kortet Appen hämtar e-fakturor som PDF-filer och öppnar dem sedan från SD-kortet. PDF-filerna raderas efter stängning av fakturan och lagras inte för visning. Hämta appar som körs används vid stöd för felhantering för att kunna skicka ut information till användaren om det är något fel på tjänsten. API:n används för att se vilket fönster som är aktivt för att informationen ska kunna presenteras längst fram. Funktionen har hittills aldrig använts. Kontrollera vibration - används för att förtydliga knapptryckningar i appen. Användaren måste ha aktiverat vibrationsfunktionen i telefonens inställningar för att den ska fungera. Teknisk information, t.ex. IP-adress för enheten som ansluter, loggas i en s.k. åtkomstloggar vid anrop från bankens appar och i en s.k. systemlogg i samband med att t.ex. betalning och överföring utförs. Åtkomstloggen sparas i 13 månader och systemloggen i 10 år. Ändamålet med loggarna är felsökning i bankens system, statistik över användningen av tjänsten, spårbarhet och bevisning samt bedrägerioch penningtvättdetektering. Systemloggen används även för kundsupport. Uppgifterna i loggarna måste bevaras i bankens system för att uppfylla krav på arkivering av räkenskapsinformation, krav på möjligheter till återsöksinformation enligt penningtvättsdirektivet, skyldighet att tillhandahålla bevisning (jfr artikel 59 i betaltjänstdirektivet) och av hänsyn till lagstadgad preskriptionstid. Ett fåtal utvalda personer har behö- Sida 3 av 11
righet att titta i loggarna. Loggarna följs upp på förekommen anledning. När en Android-app laddas ned får användaren en lista över behörigheter som denne aktivt måste godkänna. Någon motsvarande information får inte den som använder iphone-appen. Vidare finns information om Handelsbankens personuppgiftsbehandling i Allmänna villkor för Handelsbankens telefontjänster Privat, som är en del av avtalet om mobiltjänsten. Datainspektionen har tagit del av den information om behandling av personuppgifter som Handelsbanken lämnar i sina villkor. Efter att ha analyserat bankernas behandling av personuppgifter i sina appar övervägde Datainspektionen att kräva att bankerna använder sig av s.k. stark autentisering vid inloggningen via apparna. Myndigheten insåg att de beslut som man avsåg att fatta kan få konsekvenser för många banker, och inte bara de banker som besluten riktar sig mot, och att säkerhetskraven som man hade för avsikt att ställa även skulle komma att gälla annan motsvarande kommunikation med banker som sker över Internet. Av den anledningen gav myndigheten de banker som är föremål för tillsynen och Svenska Bankföreningen möjlighet att ta del av utkasten till beslut och med Datainspektionen diskutera den fortsatta hanteringen. Bankerna och Bankföreningen argumenterade mot stark autentisering och lyfte fram att det kan finnas andra alternativ för att stärka säkerheten vid autentiseringen av användarna. Eftersom flera av bankerna bedriver verksamhet även i andra nordiska länder inledde Datainspektionen ett samrådsförfarande med de andra nordiska dataskyddsmyndigheterna kring frågan om det är rimligt att ställa krav på stark autentisering då kunden loggar in via sin banks app. Ingen av dataskyddsmyndigheterna motsatte sig de utkast till beslut som Datainspektionen presenterade. Den norska myndigheten har uppgett att även den anser att de autentiseringsmetoder som de inspekterade bankerna använder inte uppfyller säkerhetskraven i dataskyddslagstiftningen, eftersom faktorer såsom t.ex. utrustnings-id eller unik installation av appen inte används vid autentiseringen. Den finska myndigheten har uppgett att bankerna där redan använder stark autentisering i enlighet med där gällande regelverk. Skäl för beslutet Vad omfattar beslutet? Det är förstås många olika personuppgifter som behandlas i samband med att banktransaktioner genomförs. Vi har valt att i detta beslut fokusera på behandlingen av sådana uppgifter som aktualiseras när appar används. Sida 4 av 11
När det gäller IT-säkerheten har vi, utöver det som ovan redogjorts för, granskat vidtagna säkerhetsåtgärder bl.a. vid kommunikationen mellan appen och banken samt bankens interna åtkomst till uppgifter. Vi har dock inte funnit något att anmärka på i dessa delar. Behandlas personuppgifter? Mot bakgrund av ovan gjord avgränsning har vi att, i denna del, bedöma hanteringen av IP-adresser och positioneringsuppgifter (GPS-koordinater). Personuppgifter är all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet (3 personuppgiftslagen). En IP-adress utgör en personuppgift i de fall någon, t.ex. en Internetleverantör, kan hänföra uppgiften till en enskild abonnent eller användare som är en fysisk person. (Jfr Kammarrättens i Stockholm dom 2007-06-08 i mål nr 285-07. Regeringsrätten meddelade inte prövningstillstånd i målet, beslut 2009-06-16 i mål nr 3978-07.) När det gäller uppgifter som i vissa fall kan hänföras till en individ är det ofta omöjligt att på förhand veta vilka uppgifter som kan hänföras till en individ och vilka uppgifter som inte kan det. Det innebär att alla sådana uppgifter i praktiken bör betraktas som personuppgifter. De IPadresser som Handelsbanken hanterar är följaktligen att anse som personuppgifter. En smart telefon går vanligtvis att hänföra till en fysisk person. Därför finner Datainspektionen att positioneringsuppgifter från smarta telefoner är personuppgifter (jfr Artikel 29-gruppens yttrande 13/2011). Behandling (av personuppgifter) är varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, t.ex. insamling, användning, bearbetning och lagring (3 personuppgiftslagen). Handelsbanken använder IP-adresser vid kommunikationen mellan apparna och banken. Vidare sparar Handelsbanken IP-adresser i loggar vid varje anrop från appen. Banken hanterar positioneringsuppgifter inom ramen för tjänsten Sök kontor, men sparar inte dessa uppgifter. Till att börja med kan Datainspektionen konstatera att Handelsbankens loggning av IP-adresser innebär behandling i personuppgiftslagens mening. Även mycket kortvarig hantering är behandling av personuppgifter i personuppgiftslagens mening. Därför är även Handelsbankens hantering av IP-adresser för att kommunicera med app-användaren och av positioneringsuppgifter inom ramen för tjänsten Sök kontor behandling i lagens mening. Sida 5 av 11
Datainspektionen konstaterar således att båda sätten som Handelsbanken hanterar IP-adresser på och bankens hantering av positioneringsuppgifter innebär att Handelsbanken behandlar personuppgifter i personuppgiftslagens mening. Vem är personuppgiftsansvarig? Den som bestämmer ändamålen med och medlen för behandlingen av personuppgifter är personuppgiftsansvarig (3 personuppgiftslagen). Banken saknar möjlighet att bestämma eller förfoga över uppgifter som användaren lägger in lokalt i telefonen eller appen, och som aldrig når banken. Sådan behandling av personuppgifter kan därför inte anses falla under bankens personuppgiftsansvar. Däremot är banken personuppgiftsansvarig då den samlar in uppgifter via appen, även om det sker på användarens initiativ. Banken har aktivt möjliggjort användningen av appen och styr över dess funktioner. Insamlandet får anses påbörjat redan när uppgifterna skickas från appen, trots att banken då ännu inte förfogar över uppgifterna (jfr Högsta förvaltningsdomstolens dom 2012-06-05 i mål nr 4453-10). Vidare är banken personuppgiftsansvarig får den behandling som banken utför genom att logga IP-adresser. Detta innebär att Handelsbanken är personuppgiftsansvarig för den behandling av IP-adresser som utförs i samband med kommunikation mellan apparna och banken, den behandling av positioneringsuppgifter som utförs inom ramen för tjänsten Sök kontor samt den behandling av IP-adresser som utförs genom loggning. Vilka regler i personuppgiftslagen är tillämpliga? Personuppgiftslagen gäller behandling av personuppgifter som helt eller delvis är automatiserad (5 första stycket). Vilka regler i personuppgiftslagen som är tillämpliga beror på hur materialet har strukturerats. Har materialet strukturerats för att påtagligt underlätta sökning efter eller sammanställning av personuppgifter, är de s.k. hanteringsreglerna tillämpliga. Om materialet är ostrukturerat, är i stället den s.k. missbruksregeln tillämplig (5 a första stycket). Till att börja med kan Datainspektionen konstatera att båda de typer av behandlingar av IP-adresser som Handelsbanken utför och den behandling av positioneringsuppgifter som banken utför är automatiserade, och att de således omfattas av personuppgiftslagen. Sida 6 av 11
Bankens behandling av IP-adresser som utförs i samband med kommunikationen mellan apparna och banken samt den behandling av positioneringsuppgifter som banken utför inom ramen för tjänsten Sök kontor är dock kortvarig och uppgifterna sparas inte. Datainspektionen finner därför att det materialet inte har strukturerats för att påtagligt underlätta sökning efter eller sammanställning av personuppgifter. Således är missbruksregeln tillämplig på dessa båda behandlingar. Sådana tekniska loggar av t.ex. IP-adresser som Handelsbanken använder är typiskt sett strukturerade på ett sådant sätt att hanteringsreglerna är tillämpliga. Det torde vidare krävas att materialet har en personuppgiftsanknuten struktur för att överhuvudtaget kunna användas för sitt syfte att utreda brottsliga attacker och incidenter. Mot denna bakgrund utgår Datainspektionen från att hanteringsreglerna är tillämpliga på Handelsbanken loggning av IP-adresser. Är behandlingen tillåten? Missbruksregeln När det gäller Handelsbankens kortvariga behandling av IP-adresser i samband med kommunikationen mellan apparna och banken samt behandlingen av positioneringsuppgifter är alltså missbruksregeln tillämplig. Enligt missbruksregeln får behandlingen inte utföras om den innebär en kränkning av den registrerades personliga integritet (5 a andra stycket). Vad som är en kränkning måste bedömas med hjälp av en avvägning i det enskilda fallet, där den registrerades intresse av en fredad, privat sfär vägs mot andra motstående intressen. Avvägningen görs utifrån bl.a. vilka uppgifter som behandlas, i vilket sammanhang uppgifterna förekommer, för vilket syfte de behandlas, vilken spridning de har fått eller riskerar att få samt vad behandlingen kan leda till. I detta fall behandlas IP-adresser och positioneringsuppgifter. Det kan sägas ske på användarens (den registrerades) initiativ. Behandlingen begränsas till vad som är nödvändigt för att kunna leverera det som användaren begärt och sparas inte därefter. När det gäller positioneringsuppgifter aviseras användaren av iphone-appen om att uppgift om plats används första gången den aktuella funktionen används. Vid en samlad bedömning finner Datainspektionen att Handelsbankens behandling av IP-adresser i samband med kommunikationen mellan apparna och banken och bankens behandling av positioneringsuppgifter inte innebär Sida 7 av 11
en kränkning av den registrerades personliga integritet, och att den behandlingen således är tillåten. Hanteringsreglerna När det gäller frågan om Handelsbankens behandling av IP-adresser i form av loggning är tillåten är hanteringsreglerna i personuppgiftslagen tillämpliga. I 10 personuppgiftslagen finns en uttömmande uppräkning av i vilka situationer det är tillåtet att behandla personuppgifter. Som huvudregel får personuppgifter bara behandlas om den registrerade har samtyckt till behandlingen. Från denna huvudregel finns en rad undantag. T.ex. får personuppgifter behandlas om det är nödvändigt för att uppfylla ett avtal med den registrerade eller efter en s.k. intresseavvägning. Datainspektionen kan inte finna att någon annan rättslig grund än intresseavvägningen är aktuell att tillämpa på Handelsbankens behandling av personuppgifter genom loggning av IP-adresser. Intresseavvägningen innebär att behandlingen är tillåten om den är nödvändig för ett ändamål som rör ett berättigat intresse hos den personuppgiftsansvarige, eller hos en sådan tredje man till vilken personuppgifterna lämnas ut, ska kunna tillgodoses, förutsatt att detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten. För att avgöra detta måste man göra en helhetsbedömning av samtliga omständigheter i det enskilda fallet, t.ex. syftet med behandlingen, vilka slag av personuppgifter som behandlas, på vilket sätt uppgifterna behandlas, spridningen av uppgifterna, säkerheten för uppgifterna, gallringsrutiner och vilken information de registrerade får. Handelsbanken loggar IP-adresser för ändamålen felsökning i bankens system, statistik över användningen av tjänsten, spårbarhet och bevisning, bedrägeri- och penningtvättdetektering samt kundsupport. Handelsbanken har anfört att uppgifterna i loggarna måste bevaras i bankens system för att uppfylla krav på arkivering av räkenskapsinformation, krav på möjligheter till återsöksinformation enligt penningtvättsdirektivet, skyldighet att tillhandahålla bevisning (jfr artikel 59 i betaltjänstdirektivet) och av hänsyn till lagstadgad preskriptionstid. Ett fåtal utvalda personer har behörighet att titta i loggarna. Loggarna följs upp på förekommen anledning. Loggarna sparas i 13 månader respektive 10 år. De registrerade får ingen information om att IPadresser loggas. Efter en samlad bedömning av omständigheterna i detta fall finner Datainspektionen att Handelsbankens behandling är tillåten enligt personuppgiftslagen. Sida 8 av 11
Får de registrerade tillräcklig information? Inledningsvis vill Datainspektionen påminna om att informationsplikten gäller först då hanteringsreglerna är tillämpliga. Det innebär att frågan i detta fall blir om Handelsbanken har lämnat tillräcklig information om sin behandling av personuppgifter i form av loggning av IP-adresser. Om uppgifter om en person samlas in från personen själv, ska den personuppgiftsansvarige i samband därmed självmant lämna den registrerade information om behandlingen av uppgifterna (23 personuppgiftslagen). Sådana elektroniska spår, t.ex. IP-adresser, som uppkommer vid den registrerades användning av datanätverk anses ha samlats in från den registrerade själv. Information ska omfatta uppgift om den personuppgiftsansvariges identitet, uppgift om ändamålen med behandlingen och all övrig information som behövs för att den registrerade ska kunna ta till vara sina rättigheter i samband med behandlingen, såsom information om mottagarna av uppgifterna, skyldighet att lämna uppgifter och rätten att ansöka om information och få rättelse (25 personuppgiftslagen). Information behöver dock inte lämnas om sådant som den registrerade redan känner till. Handelsbanken lämnar ingen information till appanvändarna om att bland annat IP-adresser loggas. De registrerade kan inte förutsättas känna till att dessa uppgifter loggas i samband med att appar används. Därmed föreligger inget undantag från informationsskyldigheten. Datainspektionen kan således konstatera att Handelsbanken inte uppfyller sin informationsplikt enligt personuppgiftslagen. Datainspektionen förelägger därför Handelsbanken att senast den 21 december 2012 komma in med en skriftlig åtgärdsplan, i vilken man ska redogöra för vilka konkreta åtgärder banken avser att vidta för att uppfylla sin skyldighet att självmant informera de registrerade enligt 23-25 personuppgiftslagen och när åtgärderna kan vara vidtagna. Har tillräckliga säkerhetsåtgärder vidtagits? Av 31 personuppgiftslagen följer att den personuppgiftsansvarige är skyldig att vidta säkerhetsåtgärder, såväl tekniska som organisatoriska, för att skydda de personuppgifter som behandlas. För att skapa ett lämpligt skydd för personuppgifterna gäller det att göra en samlad bedömning som tar hänsyn till hur pass känsliga de behandlade personuppgifterna är, riskerna som finns med behandlingen av personuppgifterna, de tekniska möjligheter som finns tillgängliga på marknaden samt vad det kostar att genomföra åtgärderna. Sida 9 av 11
Genom att logga in i appen med hjälp av sitt personnummer och en fyrsiffrig PIN-kod kan den som är kund i Handelsbankens internetbank se följande över ett öppet nät. Kontonamn Kontonummer Saldo Kommande, stoppade och genomförda transaktioner (innehållande kontonummer, belopp och datum, egna anteckningar, meddelande till mottagaren) Fördefinierade mottagare/mottagarkonton E-fakturor Enligt Datainspektionens allmänna råd är uppgifter om enskildas personliga och ekonomiska förhållanden inom bankväsendet normalt att anse som integritetskänsliga. Ett uttryck för att det är fråga om integritetskänsliga uppgifter är att uppgifterna omfattas av sekretess. Särskilt med tanke på att appar ofta används på offentliga platser finns en ökad risk för att någon obehörig lyckas komma åt inloggningsuppgifterna. Denne skulle därefter, genom att enkelt ladda ner bankens app till sin egen smarta telefon, kunna logga in i appen och obehörigen ta del av en stor mängd uppgifter, utan att den behörige användaren märker det. Datainspektionen anser att det kan medföra stora risker för den enskildes personliga integritet om någon obehörig får tillgång till t.ex. uppgifter om konton, transaktioner med namn på mottagaren eller avsändaren och skuldsättning. Uppgifterna skulle kunna användas till att kartlägga, inte bara stora delar av en persons ekonomiska förhållanden, utan även var denne har befunnit sig och dennes inköpsvanor. Uppgifterna om transaktioner kan dessutom innehålla känsliga uppgifter i personuppgiftslagens mening, t.ex. genom att avslöja den enskildes vårdgivare. Risken för dataintrång är betydligt högre om man använder sig av enbart lösenord för autentisering, än om man utöver lösenord använder sig av ytterligare någon faktor vid autentiseringen. Den ökade risken beror på att det är lättare att komma åt enbart ett lösenord, än att skaffa sig åtkomst till exempelvis både någons bankkort eller smarta telefon och lösenordet. Dessutom är det lättare för en användare att upptäcka att man har blivit av med till exempel sitt bankkort eller sin smarta telefon, än att någon obehörig har lyckats avslöja lösenordet. Sida 10 av 11
Inom bankväsendet används redan idag lösningar som e-legitimation, koddosor och engångslösenord. Det talar för att kostnaden för att införa en starkare autentiseringslösning inte skulle behöva bli orimligt hög. Vid en samlad bedömning av hur pass känsliga de behandlade personuppgifterna är, riskerna som finns med behandlingen av personuppgifterna, de tekniska möjligheter som finns tillgängliga på marknaden samt vad det kostar att genomföra åtgärderna finner Datainspektionen att den autentiseringslösning som Handelsbanken för närvarande använder i sin app inte lever upp till kraven på säkerhetsåtgärder enligt 31 personuppgiftslagen. Datainspektionen förelägger därför Handelsbanken att senast den 21 december 2012 komma in med en skriftlig åtgärdsplan, i vilken man ska redogöra för vilka konkreta åtgärder banken avser att vidta för att leva upp till kraven på säkerhetsåtgärder enligt 31 personuppgiftslagen, på vilka grunder banken bedömer att åtgärderna är verkningsfulla och tillräckliga samt när åtgärderna kan vara vidtagna. Hur man överklagar Om ni vill överklaga beslutet skall ni skriva till Datainspektionen. Ange i skrivelsen vilket beslut som överklagas och den ändring som ni begär. Inspektionen måste ha fått ert överklagande inom tre veckor från den dag ni fick ta del av beslutet, annars kan överklagandet inte prövas. Datainspektionen sänder överklagandet vidare till Förvaltningsrätten i Stockholms för prövning om inspektionen inte själv ändrar beslutet på det sätt ni har begärt. Detta beslut har fattats av generaldirektören Göran Gräslund i närvaro av chefsjuristen Hans-Olof Lindblom, tillsynschefen Catharina Fernquist, juristen Malin Fredholm och IT-säkerhetsspecialisten Adolf Slama, föredragande. Göran Gräslund Adolf Slama Sida 11 av 11