Tullverket har ålagts en sanktionsavgift från IMY enligt brottsdatalagen
Ett antal anställda hade under en längre tid och i strid med Tullverkets interna riktlinjer installerat en fotoapplikation i sina tjänstemobiler och kopplat sitt privata användarkonto till sina tjänstemobiler. Fotoapplikationen hade automatiskt synkat upptagningar och foton som fanns i mobilerna och överfört dessa till leverantörens molntjänst. Vissa av fotona och upptagningarna var tjänsterelaterade, och innehöll personuppgifter hänförliga till Tullverkets brottsbekämpande verksamhet. När detta anmäldes som en personuppgiftsincident till Integritetsskyddsmyndigheten (”IMY”) inledde IMY en granskning.
IMY konstaterade att Tullverket är personuppgiftsansvarig när anställda behandlar personuppgifter på sina tjänstemobiler (3 kap 1 § brottsdatalagen och 1 kap. 3 § lagen (2018:1694) om Tullverkets behandling av personuppgifter inom brottsdatalagens område). Tullverket ansågs ha brustit i sitt personuppgiftsansvar när uppgifter från brottsbekämpande verksamhet hamnat hos en privat molntjänsteleverantör. Bristerna ansågs ligga främst i att lämpliga tekniska och organisatoriska åtgärder inte vidtagits. Tullverket hade visserligen instruktioner på intranätet om hur tjänstemobiler fick användas, men dessa var otydliga och man hade heller inte teknisk begränsat möjligheterna för vilka mobilapplikationer som kunde laddas ned. Det fanns heller ingen information om begränsningar för privat användning av tjänstemobilerna. Det faktum att användningen av fotoapplikationen var otillåten fråntar enligt IMY inte Tullverket sitt ansvar som personuppgiftsansvarig, utan tvärtom ansågs Tullverket ansvarig för den personuppgiftsbehandling som skett i samband med användningen av fotoapplikationen. Tullverket ansågs ha brustit i sitt personuppgiftsansvar genom att inte ha genomfört tillräckliga tekniska och organisatoriska åtgärder för att personuppgiftsbehandlingen skulle vara författningsenlig. Tullverket ålades en sanktionsavgift på 300 000 kr.
Beslutet finns att läsa i sin helhet här: https://www.imy.se/globalassets/dokument/beslut/2022/beslut-tillsyn-tullverket.pdf