Efter granskning av Verifiera har IMY beslutat att utfärda en reprimand och ett föreläggande mot företaget. Bakgrunden är att det med hjälp av Verifieras söktjänst är möjligt att hämta ut information om personer varit föremål för tvångsvård på grund av psykisk ohälsa eller missbruk. ”Det rör sig om mycket integritetskänslig information beträffande personer som är eller har varit i en mycket utsatt situation” säger IMY:s jurist i ett pressmeddelande.
”Våra tjänster ger dig bättre beslutsunderlag, säkrare samarbeten och minskar risken för kostsamma felrekryteringar.” Så säljer företaget Verifiera in sina tjänster som huvudsakligen riktar sig till arbetsgivare och rekryterare. Genom sökningar i Verifieras databas kan arbetsgivare, men även privatpersoner, göra bakgrundkontroller och i realtid få ut domar från 2008 och framåt utan begränsning beträffande instans, sak eller måltyp.
Efter flera anmälningar inledde Integritetsskyddsmyndigheten (IMY) i våras ett tillsynsärende mot företaget. Anmälningarna gjordes av bland annat av personer som misstänkte att de förlorat arbetstillfällen på grund av att arbetsgivarna använde sig av Verifieras tjänster.
Inget undantag från dataskyddsförordningen
Genom sökningar i databasen kan användaren hämta ut information om alla som sedan år 2008 varit föremål för tvångsvård på grund av psykisk ohälsa eller missbruk – vilket IMY anser vara mycket integritetskänslig information om personer som är eller har varit i en mycket utsatt situation.
–För dessa personer kan ett offentliggörande av informationen vid en bakgrundskontroll leda till kännbara konsekvenser, till exempel i form av minskade möjligheter att bli aktuell för en anställning och utanförskap, säger Martin Wetzler, jurist på IMY, i ett pressmeddelande.
Det är enligt GDPR förbjudet att föra register över känsliga personuppgifter. Det finns dock undantag för journalistisk verksamhet, men IMY gör bedömningen att Verifieras utgivningsbevis inte medför att uppgifter om psykisk ohälsa eller missbruk får lämnas ut och utfärdar nu en reprimand och ett föreläggande mot företaget.
– I beslutet slår IMY fast att dataskyddsförordningen är tillämplig eftersom känsliga personuppgifter offentliggörs i en sökbar uppgiftsamling och det finns särskilda risker för otillbörliga intrång i enskildas personliga integritet. Dessutom har IMY funnit att bolaget inte har någon rättslig grund som gör det möjligt för bolaget att behandla känsliga personuppgifter, säger Martin Wetzler i pressmeddelandet.
Åtgärder inom åtta veckor
Även om överträdelsen enligt IMY är av sådan art, allvar och omfattning att en kännbar sanktionsavgift normalt sett varit påkallad, bedömer myndigheten att det i det här fallet vore oproportionerligt mot bakgrund av att det hela rört sig om en tolkningsfråga och med anledning av att undantaget aldrig tidigare tillämpats.
IMY förelägger Verifiera att vidta åtgärder så att det vid sökning i databasen inte längre ska gå att ta del av avgöranden gällande psykiatrisk tvångsvård eller vård av missbrukare. Åtgärderna ska ha vidtagits senast 8 veckor efter det att beslutet vunnit laga kraft.
Verifiera har meddelat att de avser överklaga IMY:s beslut. Enligt företaget innebär tillsynen en överträdelse av myndighetens befogenhet och behörighet.
NJ har även intervjuat Daniel Westman, som tycker att IMY:s beslut är välmotiverat och att Verifieras argumentation inte håller. Läs intervjun här.