Endelig kontrollrapport for Protector Forsikring ASA - Vedtak om overtredelsesgebyr

Transkript

1 Protector Forsikring ASA Postboks 1351 Vika 0113 OSLO Deres referanse Vår referanse (bes oppgitt ved svar) Dato 12/ /MHN 24. mai 2012 Endelig kontrollrapport for Protector Forsikring ASA - Vedtak om overtredelsesgebyr Det vises til Datatilsynets kontroll Protector Forsikring ASA den 14. februar 2012 og Datatilsynets varsel om vedtak av 14. mars Endelig kontrollrapport Virksomheten fikk tilsendt foreløpig kontrollrapport i brev av 14. mars 2012, med oppfordring til å ta opp eventuelle feil eller mangler med tilsynet. Datatilsynet mottok merknader til varsel om vedtak og foreløpig kontrollrapport i brev av 11. april Datatilsynet har gjennomgått merknadene, men finner ikke grunn til å gjøre nevneverdige endringer i selve kontrollrapporten. Det gjøres i den forbindelse oppmerksom på at rapporten skal gjenspeile de faktiske forhold på kontrolltidspunktet, slik at eventuelle senere endringer ikke får betydning for rapportens innhold. De avvik som ble avdekket i kontrollen er nærmere beskrevet i vedlagte kontrollrapport. Varsel om vedtak tilfredsstillende oppfylt I brev av 14. mars 2012 varslet Datatilsynet, med hjemmel i personopplysningslovens 46, vedtak om følgende pålegg: 1. Virksomheten må utbedre oversikt over behandling av personopplysninger med tilhørende behandlingsgrunnlag, jf. personopplysningsforskriften 3-1, jf. personopplysningsloven 14. Det vises til tilsynsrapportens punkt Virksomheten må etablere et system for tilfredsstillende informasjonssikkerhet, jf. personopplysningsloven 13, jf. personopplysningsforskriften 2-1, 2-11 og Det vises til tilsynsrapportens punkt 6.5. Postadresse: Kontoradresse: Telefon: Telefaks: Org.nr: Postboks 8177 Dep Tollbugt OSLO Hjemmeside:

2 I tilsvaret av 11. april 2012 viser Protector til at grunnlagene for påleggene er rettet opp. Det følger av brevet at: Ad pålegg 1. Vedlagt følger dokumentet Styringsdokument internkontroll personopplysninger som nå er utvidet og oppdatert i tråd med de merknader som fremkom i varselet. Ad pålegg 2. Det stedlige tilsynet reagerte på at vårt system ikke har tilstrekkelig sikkerhetstiltak for sensitive personopplysninger som i vesentlig grad begrenser faren for uautorisert eller uaktsom utlevering eller utlevering ved datainnbrudd. Et av de sentrale oppfølgingspunktene i Protector etter forrige års internkontrollgjennomgang var en forbedring og utvikling av sikkerheten av våre datasystemer. Dette var allerede påbegynt før Datatilsynet varslet stedlig tilsyn i januar. Arbeidet er krevende og vil neppe bli ferdigstilt før mot slutten av dette året. Protector har derfor besluttet med umiddelbar virkning at alle sensitive personopplysninger skal lagres manuelt i saksmapper som holdes innelåst når de ikke er til behandling. Ingen sensitive perosnopplysninger skal lagres elektronisk før Protector har etablert en sikkerhet i våre datasystemer som tilfresstiller Datatilsynets krav. I det alt vesentlig innebærer ikke dette en særlig endring for Protector da det aller meste av sensitive personopplysninger så langt ikke har vært lagret elektronisk. På bakgrunn av tilsvaret anses det ikke nødvendig å fatte endelig vedtak. Varslet vedtak av 14. mars 2012 anses dermed bortfalt, og denne delen av saken avsluttes. Vedtak om overtredelsesgebyr I henhold til personopplysningsloven 46 har Datatilsynet anledning til å ilegge overtredelsesgebyr ved brudd på personopplysningsloven med forskrift gitt i medhold av loven (personopplysningsforskriften). I vurderingen av om overtredelsesgebyr skal ilegges, og ved utmåling av dette, skal det særlig legges vekt på momentene som er listet opp i personopplysningsloven 46, 2. ledd bokstav a-h. Datatilsynet vil i det følgende gå gjennom de meste aktuelle momentene i personopplysningsloven 46. Merknadene til Protector i brev av 11. april 2012 vil kommenteres fortløpende. a) hvor alvorlig overtredelsen har krenket de interesser loven verner Lovgiver har på forhånd definert enkelte virksomheter som konsesjonspliktige, herunder forsikringsbransjen. Bakgrunnen for dette er blant annet at: Forsikringsselskapers behandling av personopplysninger vil ofte være av en slik karakter at de representerer en ikke ubetydelig personverntrussel. Disse behandlingene vil det derfor være nødvendig å konsesjonsbehandle. 1 1 Jf. merknader til personopplysningsforskriften

3 Konsesjonsinstituttet gjør det blant annet mulig for Datatilsynet å foreta en forhåndskontroll med enkelte virksomheter samt adgangen til å fastsette vilkår for behandling av personopplysninger. Protector gjør i brev av 11. april 2012 gjeldende at: Hva gjelder forhåndskontroll er det slik at Protector (tidligere Gabler Rådgivning AS) hadde konsesjon inntil denne ble trukket tilbake. Hensynet til mulighet til forhåndskontroll før konsesjon innvilges kan således ikke gjøre seg gjeldende med særlig tyngde i denne saken, idet adgang til forhåndskontroll allerede må ha vært til stede da konsesjon tidligere ble innvilget. For ordens skyld minnes det i denne sammenheng om at tilbakekallet av konsesjonen kun var foranledig av at Datatilsynet på uriktig grunnlag antok at Gabler Rådgivnings virksomhet ikke lenger krevde konsesjon. Tilsynet vil i den sammenheng presisere at det foretas en konkret vurdering av tildeling av konsesjon i medhold av forvaltningslovens regler. Tilsynet vil også poengtere at bakgrunnen for brevet fra Datatilsynet var at Gabler Rådgivning selv orienterte om at Gabler Rådgivning AS har ikke videreført forsikringskonsesjonen. Tilsynet finner derfor ikke grunn til å legge vekt på ovennevnte merknad fra selskapet. I standardkonsesjon for forsikringsvirksomhet er behandlingen av personopplysninger mer utfyllende regulert, herunder med hensyn til innhenting av samtykke fra den registrerte samt krav til relevans. Manglende konsesjon vil i å så måte kunne virke inn på hvordan virksomheten behandler personopplysninger ved at det behandles opplysninger i strid med vilkår oppstilt i konsesjon. Dette synes å ha gjort seg gjeldende for Protectors innhenting av samtykke samt vurdering av relevanskrav i personopplysningsloven 11. Protector anfører at selskapet har gått ut fra at det hadde konsesjon, og at selskapet har forsøkt å innrette seg etter konsesjonsvilkårene. Selskapet påpeker videre at det er av den oppfatning at det foreligger gyldig samtykke til innhenting av opplysninger. Tilsynet har ikke grunn til å tro at selskapet bevisst har unnlatt å søke om konsesjon, men poengterer at standardkonsesjonen legger viktige føringer for hvordan personopplysninger skal behandles av forsikringsselskaper. Denne har også blitt endret siden Swiss Re fikk konsesjon i Tilsynet bestrider heller ikke at selskapet nå har fått på plass bedre rutiner for innhenting av samtykke, ved at det skilles mellom basisfullmakt, utvidet fullmakt I og utvidet fullmakt II. Det avgjørende for tilsynet er imidlertid den manglende differensieringen tilbake i tid. Tilsynet har mottatt tips om dette, i tillegg viste en tilfeldig gjennomgang av saker på stedet at en generell fullmakt uten presisering av hvilke opplysninger som skulle innhentes ble brukt, jf. endelig kontrollrapport punkt Det presiseres videre at et gyldig samtykke etter personopplysningsloven 2 nr. 7 avhenger av at dette er frivillig, uttrykkelig og informert. Personopplysningsloven 11 og 8 jf. 9 er sentrale bestemmelser i personopplysningsloven og en manglende etterlevelse vil innebære en alvorlig overtredelse av de interesser personopplysningsloven er ment å verne. 3

4 b) graden av skyld Det følger av forarbeidene til bestemmelsen at det med graden av skyld siktes til hvor klanderverdig handlingen er, for eksempel om den bærer preg av et uhell eller om den har et mer systematisk eller planmessig preg. Protector anfører at selskapet ikke har mottatt brevet der vedtaket om tilbakekall av konsesjonen fremgikk. Det vises til at: Det kan her stilles spørsmålstegn ved om Datatilsynet selv bør ta selvkritikk for at brevet ikke har kommet til Protectors kunnskap. Det vises her kort til at vedtaket skal ha blitt sendt som alminnelig post. Det ble således ikke sendt rekommandert eller på annen måte som sikret mottak hos rett adressat. Brevet var dessuten stillet til en bestemt person i Gabler Rådgivning og ikke til selskapet / den behandlingsansvarlige som sådan Protector peker videre på at selskapets unnlatelse med hensyn til å sende inn bekreftelse på at behandlingen skjer i tråd med loven, må vurderes isolert, samt at Protector er av den oppfatning at ileggelse av overtredelsesgebyr er et vedtak av pønal karakter, og at det ikke foreligger tilstrekkelig sannsynlighetsovervekt for ileggelse av overtredelsesgebyr. Datatilsynet bemerker at brevet ble sendt til Gabler Rådgivning AS v/trond Høye, og således adressert til selskapet som sådan. Tilsynet sender, som alle øvrige offentlige instanser, herunder politiet, brev per post. Tilsynet vil derfor ikke ta selvkritikk for at samtlige brev ikke sendes rekommandert. Etter tilsynets vurdering er det flere faktorer som peker i retning av at selskapet ikke har hatt god nok kjennskap til personvernregelverket, noe som har manifestert seg i selskapets behandling av personopplysninger. Avslutningsvis viser tilsynet til at et overtredelsesgebyr ofte karakteriseres som et pengebeløp et forvaltningsorgan pålegger en privatperson eller et foretak å betale til det offentlige som følge av overtredelse av en handlingsnorm som er fastsatt i lov eller forskrift. 2 Ileggelse av overtredelsesgebyr regnes ikke som straff i internrettslig forstand. Av hensyn til EMK må imidlertid Datatilsynet ha et bevisst forhold til om forholdet skal anmeldes eller om tilsynet selv skal reagere med et overtredelsesgebyr. Bakgrunnen for at sanksjonsformen ble innført var nettopp å ha et effektivt virkemiddel for å håndheve lovens bestemmelser som ikke var straffesanksjonert, samt den generelle føringen om å vise tilbakeholdenhet med å bruke straff dersom andre og mindre inngripende sanksjoner er tilstrekkelige. Dersom Datatilsynets brev ikke ble mottatt av selskapet er dette selvsagt svært beklagelig. Brevet etterfulgte selskapets orientering om at forsikringskonsesjonen ikke skulle videreføres, og det må derfor synes nærliggende at selskapet hadde oppfordring til å følge opp dette punktet. Mangelen på konsesjon sammenholdt med mangler ved behandlingen av personopplysninger, herunder manglende melding om at opplysningene behandles i tråd med loven, gir Datatilsynet grunnlag for å fastslå at rutiner for behandling av personopplysninger har vært for dårlige samt at kunnskap knyttet til personopplysningsloven med forskrift har vært manglende eller klart mangelfull. 2 Jf. NOU 2003: 15 Fra bot til bedring side 64 og

5 c) om overtrederen ved retningslinjer, instruksjon, opplæring, kontroll eller andre tiltak kunne ha forebygget overtredelsen Etter tilsynets vurdering er det åpenbart at bedre rutiner for behandling av personopplysninger samt bedre kontroll med selskapets behandling av personopplysninger, kunne forhindret overtredelsen. d) om overtredelsen er begått for å fremme overtrederens interesser Det legges til grunn at Protector Forsikring ASA har et ønske om å opptre i tråd med personopplysningsloven med forskrift. Selv om manglende rutiner for innhenting av samtykke som følger direkte av standardkonsesjon kan ha medført økonomisk gevinst for selskapet, vil ikke dette momentet tillegges særlig vekt. e) om overtrederen har hatt eller kunne ha oppnådd noen fordel ved overtredelsen Det vises til bokstav d. f) om det foreligger gjentakelse Standardkonsesjon for forsikring gis som hovedregel for en tidsubestemt periode. Det er dermed ikke aktuelt å vurdere om det foreligger gjentakelse. Tilsynet bemerker imidlertid at det er nærliggende å anta at manglende konsesjon har medført følgefeil med hensyn til selskapets behandling av personopplysninger. Det vises i forlengelsen av dette til manglende rutiner for innhenting av samtykke fra den registrerte. g) om andre reaksjoner som følge av overtredelsen blir ilagt overtrederen eller noen som har handlet på vegne av denne, blant annet om noen enkeltperson blir ilagt straff Det følger av den foreløpige rapporten punkt at manglende konsesjon anses som et brudd på personopplysningsloven 33 jf. personopplysningsforskriften 7-2. Datatilsynet har unnlatt å varsle vedtak om at selskapet plikter å søke konsesjon, da søknad ble journalført 23. februar Det følger av personopplysningsloven 48, 1. ledd bokstav b at den som forsettlig eller grovt uaktsomt behandler personopplysninger uten nødvendig konsesjon etter 33 kan straffes med bøter eller fengsel inntil ett år eller begge deler. Datatilsynet vil ikke anmelde forholdet. Det bemerkes for øvrig at personopplysningsloven 46, 4. ledd, hvoretter Datatilsynet kan gi pålegg om at behandling av personopplysninger skal opphøre eller stille vilkår som må være oppfylt for at behandlingen skal være i samsvar med loven, egner seg dårlig i et tilfelle som dette. Grunnen er at overtredelsen av bestemmelsen ikke kan repareres ved hjelp av et pålegg eller ved at det stilles vilkår for selskapets behandling av opplysninger for fremtiden. 5

6 h) overtrederens økonomiske evne Ved vurderingen av om overtredelsesgebyr skal ilegges skal det sees hen til overtreders økonomiske situasjon. Dette momentet vil i utgangspunktet ha større betydning for utmåling av overtredelsesgebyret enn i vurderingen av om overtredelsesgebyr skal ilegges. Det presiseres videre at virksomhetens økonomi tillegges mindre betydning hvis overtredelsen først er vurdert som grov, jf. bokstav a. Datatilsynet legger til grunn at Protector Forsikring ASA har betydelig økonomisk evne. Konklusjon Etter en konkret vurdering av de ovennevnte momenter har Datatilsynet funnet grunnlag for å fatte vedtak om overtredelsesgebyr overfor Protector Forsikring ASA. Det legges særlig vekt på at overtredelsen innebærer en krenkelse av grunnleggende krav som oppstilles for den behandlingsansvarlige, og at manglende konsesjon kan ha hatt innvirkning på selskapets behandling av personopplysninger. Det vektlegges videre at rutiner for behandling av personopplysninger har vært for dårlige samt at kunnskap knyttet til personopplysningsloven med forskrift har vært manglende eller svært mangelfull. Protector har subsidiært anført at den varslede størrelsen på gebyret må reduseres betydelig. Det vises til at størrelsen på gebyret synes å være urimelig høyt sammenlignet med andre saker der det har blitt ilagt overtredelsesgebyr. Det vises i den forbindelse til sak om Posten Norge AS, hvor selskapet ble ilagt kr , og sak om Sparebank 1 Nord-Norge, hvor det ble ilagt kr I sak om fortrolig adresse ble Posten Norge AS ilagt et overtredelsesgebyr på kr Det ble særlig lagt vekt på at overtredelsen innebærer en alvorlig krenkelse av en interesse som det er svært viktig å verne om, at det må stilles strenge krav til behandlingen av fortrolige adresser fordi terskelen for innvilgelse er høy, og fordi risikoen for, og konsekvensene av, en tilgjengeliggjøring av adressen kunne vært minket betydelig dersom tilfredsstillende rutiner hadde vært etablert. I denne saken hadde én fortrolig adresse blitt tilgjengeliggjort. I sak om Sparebank 1, hadde banken sendt ut en e-post som inneholdt fødselsnummer og økonomiske detaljer om kundene. Det ble ikke utlevert sensitive personopplysninger, men opplysninger som ases følsomme. Banken ble ilagt kr , blant annet fordi det forelå et gjentagelseselement. Til forskjell fra de ovennevnte sakene hvor det har vært enkeltstående episoder som har dannet utgangspunktet for et overtredelsesgebyr, har Protector gjennom en årrekke hatt en praksis som har medført en overtredelse av grunnkravene i personopplysningsloven. Forsikringsselskapet behandler svært sensitive personopplysninger om kunder, og en innhenting av hele eller store deler av legejournal hvor dette ikke er nødvendig kan innebære en integritetskrenkelse for kunden. Det er svært viktig at selskapet, som den profesjonelle part, har et bevisst forhold til hvilke opplysninger som etterspørres. Tilsynet finner etter en konkret vurdering ikke grunn til å sette ned det varslede overtredelsesgebyret. 6

7 Vedtak om overtredelsesgebyr Med hjemmel i personopplysningsloven 46 ilegges Protector Forsikring ASA et overtredelsesgebyr på NOK to hundre og femti tusen kroner. Overtredelsesgebyret forfaller til betaling etter at vedtaket er endelig. Vedtaket vil være endelig tre uker etter at virksomheten er underrettet, det vil si tre uker etter mottak av dette brev. Vedtaket er tvangsgrunnlag for utlegg. Inndrivelse av kravet vil bli gjennomført av Statens innkrevingssentral, jf. personopplysningsloven 47a. Klageadgang Dette vedtaket kan påklages til Personvernnemnda i tråd med forvaltningsloven kapittel VI. Eventuell klage må fremsettes for Datatilsynet innen tre uker etter at vedtaket ble mottatt. Datatilsynet gjør i den forbindelse oppmerksom på at partene har rett til innsyn i sakens dokumenter, jf. forvaltningsloven 18. Avsluttende bemerkninger Tilsynet vil avslutningsvis bemerke at det anses som positivt at Protector Forsikring ASA har fulgt opp varslede vedtak, at Protector har innført krav om innhenting av særskilt samtykke før behandling av sensitive personopplysninger starter, og har utarbeidet ytterligere informasjon til forsikringstagere og skadelidte om behandlingen av personopplysninger. Med vennlig hilsen Bjørn Erik Thon direktør Mari Hersoug Nedberg seniorrådgiver Vedlegg: Endelig kontrollrapport Kopi: Statens innkrevingssentral, Postboks 455, 8601 Mo i Rana 7