Så här arbetar IMY med klagomål
IMY utgår från att de flesta vill göra rätt för sig, värna integriteten och följa dataskyddsförordningen. Detta vill vi så långt som möjligt underlätta. Därför är vägledning ett av våra två huvudsakliga fokusområden just nu.
För att säkerställa att alla aktörer har incitament att följa regelverket – och därigenom även göra spelplanen rättvis för de som anstränger sig för att göra rätt – krävs det dock även att vi bedriver tillsyn när vi misstänker att en aktör bryter mot reglerna. Eftersom vi inte kan kontrollera all personuppgiftsbehandling är vi i stor utsträckning beroende av att enskilda uppmärksammar oss på brister genom att lämna in klagomål till oss. Därför är vårt andra huvudsakliga fokusområde just nu klagomål och klagomålstillsyn.
När ett klagomål kommer in till IMY är vi skyldiga att utreda det i den utsträckning som det är lämpligt. Men vad innebär det?
Hur långt ska IMY utreda ett klagomål?
Det övergripande målet med klagomålsarbetet är att göra så stor nytta som möjligt, för så många som möjligt, så fort som möjligt.
Samtidigt ska våra beslut inte vara oproportionerligt betungande för enskilda personuppgiftsansvariga. Den långsiktiga trenden är att antalet klagomål ökar samtidigt som IMY:s skyldigheter att utreda klagomål och de registrerades rättigheter utökas. För att uppnå våra målsättningar måste IMY därför hela tiden sträva efter att effektivisera klagomålshanteringen.
Med andra ord måste IMY göra så mycket nytta som möjligt med varje arbetad timme. I detta arbete ingår givetvis effektiva processer, utbildad personal, adekvata mallar och rutiner samt effektiva IT-system. Men det förutsätter också att IMY utreder varje enskilt klagomål så mycket som det behövs men inte mer.
Vad innebär detta i praktiken?
I många fall kan IMY direkt konstatera att klagomålet inte tyder på att en överträdelse av dataskyddsförordningen har skett. I de fallen är det lämpligt att IMY avslutar klagomålsärendet utan att vidta åtgärder.
I andra fall kan brister bero på ren okunskap eller missförstånd. Då kan det vara tillräckligt att IMY kontaktar den personuppgiftsansvarige för att upplysa om klagomålet och gällande regler genom ett så kallat informationsbrev. Detta är ofta lämpligt vid mindre allvarliga engångsföreteelser.
Om det inte visar sig tillräckligt inleder IMY tillsyn. Många klagomål handlar om att de registrerade har försökt utöva sina rättigheter gentemot en personuppgiftsansvarig men inte fått gehör. I sådana fall är det inte ovanligt att den personuppgiftsansvarige omedelbart rättar till bristen när IMY skickar sin tillsynsskrivelse. I sådana fall är det ofta inte nödvändigt att utreda ärendet vidare.
Ibland kan frågan inte lösa ut sig på det här sättet. Då har IMY ett antal korrigerande befogenheter till sitt förfogande. För mindre överträdelser kan IMY påföra en reprimand. Det är vanligt i klagomålstillsyner som rör behandlingen av en enskild registrerads personuppgifter, och inte avser systematiska överträdelser. IMY kan även förelägga den personuppgiftsansvarige att rätta sig.
Det förekommer dock även att klagomålstillsyner leder till sanktionsavgifter. Så har fallet varit när flera klagomål pekar på liknande brister hos samma personuppgiftsansvarige. Om många klagomål kommer in mot en personuppgiftsansvarig kan detta även tyda på systematiska brister, och vara ett skäl att inleda en tillsyn av bolagets rutiner. Sådana fall kan leda till större sanktionsavgifter.
Det händer att personuppgiftsansvariga inte svarar när IMY hör av sig, att de har gått i konkurs, är etablerade utanför EES eller hemlighåller sin identitet. IMY har då ett antal utredningsbefogenheter till sitt förfogande. Det har exempelvis förekommit att IMY förelägger den personuppgiftsansvarige att svara eller att IMY kontaktar tredje part för att ta reda på vem som står bakom en webbsida. Ibland bedömer dock IMY att det inte är en effektiv användning av våra resurser att driva ärendet vidare. Vad IMY väljer att göra beror dels på hur vi bedömer våra utsikter att komma tillrätta med överträdelsen, dels på hur allvarlig överträdelsen är.
Sammanfattningsvis finns det ett stort spann i hur omfattande en klagomålsutredning kan vara och hur ingripande befogenheter IMY väljer att använda. Utfallet beror på omständigheterna i varje enskilt fall. Utgångspunkten är dock alltid densamma – att göra största möjliga nytta för så många som möjligt så snabbt som möjligt.
Albin Brunskog
Enhetschef, Enheten för EU-tillsyn