IMY klar med granskning av söktjänst som avser uppgifter om hälsa

Efter att ha tagit emot klagomål mot företaget Verifiera har IMY inlett en granskning av företaget. Verifiera erbjuder en söktjänst för bland annat bakgrundskontroller. Genom söktjänsten gör bolaget det möjligt för användare att söka efter känsliga personuppgifter i bolagets databas, som bland annat består av domstolsavgöranden från de allmänna förvaltningsdomstolarna.

De känsliga uppgifter som granskningen avser är uppgifter om att någon är eller har varit föremål för tvångsvård på grund av psykisk ohälsa eller missbruk. I företagets databas finns alla domstolsavgöranden från 2008 och framåt enligt lagen om psykiatrisk tvångsvård och lagen om vård av missbrukare i vissa fall, totalt cirka 210 000 avgöranden. Resultatet är en uppgiftssamling över alla som sedan år 2008 varit föremål för tvångsvård på grund av psykisk ohälsa eller missbruk.

– Det rör sig om mycket integritetskänslig information beträffande personer som är eller har varit i en mycket utsatt situation. För dessa personer kan ett offentliggörande av informationen vid en bakgrundskontroll leda till kännbara konsekvenser, till exempel i form av minskade möjligheter att bli aktuell för en anställning och utanförskap, säger Martin Wetzler som är jurist på IMY.

Företaget har ett utgivningsbevis enligt yttrandefrihetsgrundlagen vilket normalt innebär att dataskyddsförordningen inte behöver tillämpas. Genom en grundlagsändring 2019 infördes dock en begränsning av grundlagsskyddet. Begränsningen innebär att dataskyddsförordningen blir tillämplig när vissa särskilt integritetskänsliga uppgiftssamlingar offentliggörs.

– I beslutet slår IMY fast att dataskyddsförordningen är tillämplig eftersom känsliga personuppgifter offentliggörs i en sökbar uppgiftsamling och det finns särskilda risker för otillbörliga intrång i enskildas personliga integritet. Dessutom har IMY funnit att bolaget inte har någon rättslig grund som gör det möjligt för bolaget att behandla känsliga personuppgifter, säger Martin Wetzler.

Den konstaterade överträdelsen är av sådan art, allvar och omfattning att det normalt sett hade varit påkallat att utfärda en kännbar sanktionsavgift mot bolaget.

– Vid bedömningen av om sanktionsavgift ska utfärdas har IMY bland annat tagit hänsyn till att det varit fråga om tolkning av ett undantag från det grundlagsskydd utgivningsbevisen ger samt att undantaget inte tidigare tillämpats av IMY eller någon domstol och som lämnat visst utrymme för olika bedömningar. IMY har därför kommit fram till att det i det här fallet inte vore proportionerligt att påföra bolaget en sanktionsavgift för de konstaterade överträdelserna, säger IMY:s generaldirektör Lena Lindgren Schelin.

I sitt beslut utfärdar dock IMY en reprimand mot bolaget och förelägger dessutom bolaget att vidta åtgärder så att det inte längre ska vara möjligt för användare att vid sökning på personer kunna ta del av uppgift om att den eftersökta personen varit föremål för tvångsvård på grund av psykisk ohälsa eller missbruk. Åtgärderna ska ha vidtagits senast åtta veckor efter att beslutet vunnit laga kraft.