1(16)
KLAGANDEN
Se bilaga
TILLSYNSOBJEKT
Aktiebolaget Storstockholms Lokaltrafik
Diarienummer:
IMY-2024-1521 Beslut efter tillsyn enligt
Datum: dataskyddsförordningen –
2025-06-18
Aktiebolaget Storstockholms
Lokaltrafik
Integritetsskyddsmyndighetens beslut
Integritetsskyddsmyndigheten konstaterar att Aktiebolaget Storstockholms Lokaltrafik,
med organisationsnummer 556013-0683, under perioden oktober 2021–augusti 2022
har behandlat klagandens personuppgifter i strid med
• artikel 6 i dataskyddsförordningen1 genom att behandla klagandens
personuppgifter utan rättslig grund och
• artikel 9 i dataskyddsförordningen genom att behandla känsliga
personuppgifter om klaganden utan att något av undantagen från förbudet att
behandla sådana uppgifter var tillämpligt.
IMY beslutar med stöd av artiklarna 58.2 och 83 i dataskyddsförordningen att
Aktiebolaget Storstockholms Lokaltrafik ska betala en administrativ sanktionsavgift på
75 000 (sjuttiofemtusen) kronor för överträdelserna.
Redogörelse för tillsynsärendet
Integritetsskyddsmyndigheten (IMY) har inlett tillsyn mot Aktiebolaget Storstockholms
Lokaltrafik (SL eller bolaget) med anledning av ett klagomål.
IMY utreder om den aktuella behandlingen av klagandens personuppgifter har haft
stöd i en rättslig grund i artikel 6 i dataskyddsförordningen, huruvida behandlingen har
omfattat känsliga personuppgifter om klaganden enligt artikel 9 i dataskydds-
förordningen och i så fall om något av undantagen mot förbudet mot att behandla
sådana känsliga uppgifter varit tillämpligt.
Postadress:
Box 8114 Bakgrund
104 20 Stockholm
Webbplats: IMY inledde tillsyn mot Trafikförvaltningen i Region Stockholm med anledning av
www.imy.se klagomålet i januari 2023 i ärende med diarienummer IMY-2023-696. Ärendet
E-post:
[email protected] 1 Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med
Telefon: avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av
08-657 61 00 direktiv 95/46/EG (allmän dataskyddsförordning).
Page 1 of 16
Integritetsskyddsmyndigheten Diarienummer: IMY-2024-1521 2(16)
Datum: 2025-06-18
avslutades med hänsyn till att Trafikförvaltningen i Region Stockholm inte bedömdes
vara personuppgiftsansvarig för den behandling som klagomålet gäller. IMY har tillfört
relevanta handlingar från det tidigare tillsynsärendet till ärende IMY-2024-1521.
Klagomålet
Klaganden har i huvudsak uppgett följande. Klaganden är befälhavare och anställd av
en trafikutövare som utför upphandlad kollektivtrafik på vatten åt SL. Befälhavarna hos
trafikutövaren gör ett utandningsprov i en alkoholmätare innan varje avgång med färja.
Resultatet registreras och lagras i ett system. Systemet med alkoholtestning av
anställda med registrering och lagring av resultaten från testerna har inte förekommit
tidigare. Trafikutövaren har inte kunnat svara på vilken rättslig grund behandlingen av
känsliga uppgifter stödjer sig på. Det enda uttalade syftet med alkoholtestning är att
säkerställa att befälhavaren inte är alkoholpåverkad vid framförandet av fartyget, men
vad den rättsliga grunden för, syftet med och intresset av att registrera testresultat för
lagring kan trafikutövaren inte förklara. Den troliga anledningen till att trafikutövaren
inte kan svara klart och tydligt på klagandens frågor är att trafikutövaren inte fått
tillräcklig information och underlag i sitt avtal med Trafikförvaltningen i Region
Stockhom. Trafikutövaren ska redovisa resultatet av alkoholtesterna för SL.
Informationen om utandningsprovets resultat lagras i den fastmonterade alkohol-
mätaren ombord på fartygen i ett år. Samma information överförs genom digital
uppkoppling till en server som trafikutövaren och SL har tillgång till. Eftersom både
trafikutövaren och SL kan koppla ihop logginformationen från alkoholmätaren med
tjänstföringsscheman innebär detta sammantaget att det är fråga om personuppgifts-
behandling. Vilka som tjänstgör ombord ska enligt lag vara kända för trafikutövaren
och vara noterade i skeppsdagboken som även SL har tillgång till. Uppgifterna i
skeppsdagboken sparas i tre år. Den befälhavaren som är skyldig att blåsa i
alkoholmätaren kan därför kopplas samman med utfört utandningsprov.
Yttranden från SL
SL:s yttranden redogörs för i relevanta delar under respektive avsnitt under rubriken
”Motivering av beslutet”. Nedan sammanfattas det som i huvudsak framkommit om
den aktuella personuppgiftsbehandlingen.
Genom alkoholmätaren registreras uppgift om aktuell utandningsenhet kopplad till
fartyg, tidpunkt och resultat av befälhavarens utandningsprov. Uppgift om vem ett
utandningsprov hänför sig till registreras inte. De registrerade uppgifterna lagras i
alkoholmätaren, kontrollboxen ombord på fartyget och i SL:s datasystem under sju
dagar enligt nu gällande gallringsrutiner. Vid resultat upp till laglighetsgränsen,
0,2 promille, visas endast ett grönt resultat. Det är först när resultatet har passerat
laglighetsgränsen som ett resultat angivet i promille är synligt och utandningsenheten
visar rött. Det är endast ett fåtal behöriga personer hos trafikutövaren som, genom
tillgång till resultat från alkoholmätaren som skeppsdagbok, har haft möjlighet att
identifiera befälhavarens resultat av ett utandningsprov. Det har varit nödvändigt för att
uppnå syftet med användningen av alkoholmätaren som varit att förhindra framförande
av fartyg under alkoholpåverkan.
När utandningsproven togs i bruk i oktober 2021 saknades gallringsrutiner eftersom SL
inte bedömde att resultatet av utandningsproverna utgjorde personuppgifter för
bolaget. Förslag till gallringsbeslut presenterades för Regionarkivet den 2 april 2022.
Gallring av samtliga uppgifter i systemet genomfördes den 2 maj 2022. Ett formellt
gallringsbeslut godkändes av Regionarkivet den 3 oktober 2022. Efter det formella
Page 2 of 16
Integritetsskyddsmyndigheten Diarienummer: IMY-2024-1521 3(16)
Datum: 2025-06-18
gallringsbeslutet ska automatisk gallring ske efter sju dagar från utandningsprov. En
lagringstid om sju dagar är nödvändig för att säkerställa att trafikutövaren hinner följa
upp och vidta åtgärder vid ett eventuellt positivt resultat. Det har inte bedömts finnas
något intresse av att behålla utandningsprov och loggar under en längre tid då
uppgifterna saknar betydelse i andra avseenden. SL uppskattar att klaganden har
utfört ungefär två utandningsprov per arbetsdag. Uppgifterna om klaganden finns inte
längre sparade. Utandningsproven är pausade sedan den 26 augusti 2022 på grund
av IMY:s tillsyn. SL önskar att återuppta kontrollerna så snart som är möjligt.
Yttranden från klaganden
Klaganden har fått tillfälle att yttra sig över SL:s yttranden och har bland annat uppgett
följande. SL anser sig vara ansvarig för säkerheten ombord. Rederiet, i detta fall
trafikutövaren, tillsammans med befälhavaren är ansvariga för säkerheten och
arbetsmiljön ombord. SL hänvisar vidare till alkohol- och drogpolicy som är
branschstandarden oberoende om SL är huvudman eller inte. Denna policy innehåller
bland annat nolltolerans mot alkohol och droger på arbetsplatsen, alkohol- och
drogtest vid nyanställning, misstanke och olycka och slumpmässiga tester. Klaganden
ställer sig frågande till om SL utifrån en proportionalitetsbedömning konstaterat att
dessa åtgärder inte har fungerat och om SL har konstaterat problem med alkohol och
droger hos sin uppdragstagares personal som motiverar ytterligare åtgärder.
Motivering av beslutet
IMY ska inledningsvis pröva om resultaten från utandningsproven har utgjort
personuppgifter om klaganden. Om så är fallet ska IMY därefter ta ställning till om SL
har haft stöd i artiklarna 6 och 9 i dataskyddsförordningen för att behandla klagandens
personuppgifter i samband med de utandningsprov som genomförts under perioden
oktober 2021–augusti 2022.
Behandlingen omfattar personuppgifter
Rättslig reglering
Begreppet personuppgift definieras i artikel 4.1 i dataskyddsförordningen som varje
upplysning som avser en identifierad eller identifierbar fysisk person, varvid en
identifierbar person är en person som direkt eller indirekt kan identifieras särskilt med
hänvisning till en identifierare som ett namn, ett identifikationsnummer, en
lokaliseringsuppgift eller onlineidentifikatorer eller en eller flera faktorer som är
specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska,
ekonomiska, kulturella eller sociala identitet.
Av skäl 26 i dataskyddsförordningen framgår bland annat följande. Personuppgifter
som har pseudonymiserats och som skulle kunna tillskrivas en fysisk person genom
att kompletterande uppgifter används bör anses som uppgifter om en identifierbar
fysisk person. För att avgöra om en fysisk person är identifierbar bör man beakta alla
hjälpmedel, som t.ex. utgallring, som, antingen av den personuppgiftsansvarige eller
av en annan person, rimligen kan komma att användas för att direkt eller indirekt
identifiera den fysiska personen. För att fastställa om hjälpmedel med rimlig
sannolikhet kan komma att användas för att identifiera den fysiska personen bör man
beakta samtliga objektiva faktorer, såsom kostnader och tidsåtgång för identifiering,
med beaktande av såväl tillgänglig teknik vid tidpunkten för behandlingen som den
tekniska utvecklingen.
Page 3 of 16
Integritetsskyddsmyndigheten Diarienummer: IMY-2024-1521 4(16)
Datum: 2025-06-18
Begreppet ”personuppgift” ska enligt rättspraxis ges en vid innebörd.2 EU-domstolen
har slagit fast att en upplysning avser en identifierbar fysisk person när den på grund
av sitt innehåll, syfte eller verkan är knuten till en identifierbar person.3 EU-domstolen
har vidare konstaterat att det inte är nödvändigt att upplysningen i sig gör det möjligt
att identifiera den fysiska personen för att upplysningen ska utgöra en personuppgift.
Det följer av artikel 4.1 jämfört med skäl 26 att personuppgifter som genom att
använda kompletterande uppgifter skulle kunna tillskrivas en fysisk person ska anses
som uppgifter om en identifierbar fysisk person.4 Det krävs inte att en enda person
innehar alla upplysningar som är nödvändiga för att identifiera den registrerade för att
en uppgift ska anses utgöra en personuppgift i den mening som avses i artikel 4.1 i
dataskyddsförordningen.5
Vad SL har uppgett
Av SL:s yttranden framgår bland annat följande. Uppgift om vem ett utandningsprov
hänför sig till registreras inte i systemet. I systemet registreras uppgifter om aktuell
utandningsenhet kopplad till fartyg, tidpunkt och resultat av utandningsprov. Två
anställda hos trafikutövaren har tillgång till resultatet från utandningsproverna i
systemet. Dessa behöriga personer kan i sin tur koppla ihop resultat från utandnings-
prov med vem som har varit befälhavare för det fartyg som det aktuella utandnings-
provet har utförts på. SL har inte tillgång till den informationen. SL har bestämt att
endast personal hos trafikutövaren ska ha tillgång till resultat av utandningsprov.
Inför att utandningsproven infördes bedömde SL att resultaten inte utgjorde
personuppgifter för bolaget, eftersom bolaget inte uppfattade att de medel för att
identifiera vilken befälhavare som gjort vilket utandningsprov rimligen eller sannolikt
kunde kommas åt av SL. SL har haft en viss möjlighet att genom åtgärder hos
leverantören erhålla tillgång till uppgifter som lagras i utandningsenheten, men har
primärt uppfattat att möjligheten inte varit inom ramen för vad som anses utgöra en
rimlig åtgärd. Efter dialog med bland annat befälhavare rörande utandningsproven
under våren 2022 gjorde SL en förnyad bedömning av frågan, varvid bolaget ansåg att
hanteringen sannolikt får anses utgöra personuppgiftsbehandling för bolaget.
IMY:s bedömning
Mot bakgrund av utredningen i ärendet bedömer IMY att resultaten från utandnings-
proven kan kopplas till den fysiska person som har utfört utandningsprovet genom
kompletterande uppgifter, som finns tillgängliga hos trafikutövaren. Det är enligt IMY
tillräckligt att resultaten från utandningsproven med de kompletterande uppgifterna i
skeppsdagboken kan kopplas till en identifierbar fysisk person. Den omständigheten
att SL inte har haft direkt tillgång till resultaten från utandningsproven6 eller att det inte
har registrerats uppgift om vem som utfört ett utandningsprov i systemet där resultaten
har lagrats saknar enligt IMY betydelse i sammanhanget. Resultaten från utandnings-
proven utgör således personuppgifter enligt artikel 4.1. i dataskyddsförordningen.
SL är personuppgiftsansvarig
Rättslig reglering
Med personuppgiftsansvarig avses, enligt artikel 4.7 i dataskyddsförordningen, en
fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som
2 Se t.ex. EU-domstolens dom Österreichische Datenschutzbehörde, C-487/21, EU:C:2023:369, p. 23 och där
angiven rättspraxis.
3 EU-domstolens dom i mål C-487/21, p. 24.
4 EU-domstolens dom Nacionalinis visuomenės sveikatos centras, C-683/21, EU:C:2023:949, p. 58.
5 EU-domstolens dom IAB Europe, C-604/22, EU:C:2024:214, p. 40.
6 Jfr skäl 26 och EU-domstolens dom i mål IAB Europe, C-604/22, p. 40.
Page 4 of 16
Integritetsskyddsmyndigheten Diarienummer: IMY-2024-1521 5(16)
Datum: 2025-06-18
ensamt eller tillsammans med andra bestämmer ändamålen och medlen för
behandlingen av personuppgifter.
Vad SL har uppgett
SL har angett bland annat följande. SL har bestämt ändamålen med den aktuella
personuppgiftsbehandlingen och beslutat hur behandlingen ska genomföras. SL har
fattat beslut om installation av mätarna på fartygen. SL har beslutat hur lagring av
resultaten av utandningsproven ska ske och om lagringstid. SL har vidare bestämt att
endast personal hos trafikutövaren ska ha tillgång till resultat av utandningsprov.
Trafikutövaren är personuppgiftbiträde till SL i den del som trafikutövaren hanterar
personuppgifter för SL:s räkning. SL har ingått ett personuppgiftsbiträdesavtal med
trafikutövaren.
IMY:s bedömning
IMY bedömer att utredningen visar att SL har bestämt ändamålen och medlen för den
aktuella personuppgiftsbehandlingen. SL är därmed personuppgiftsansvarig för den.
Rättslig grund för personuppgiftsbehandlingen
I artikel 6 i dataskyddsförordningen anges att en behandling av personuppgifter endast
är laglig om minst ett av villkoren i artikel 6.1 är uppfyllt. Det måste med andra ord
finnas en rättslig grund för personuppgiftsbehandlingen.
SL har angett att bolaget har genomfört en dokumenterad intresseavvägning och
kommit fram till att den aktuella behandlingen kan grundas på artikel 6.1 f i
dataskyddsförordningen. SL har även framfört att om IMY inte bedömer att rättslig
grund enligt artikel 6.1 f föreligger så har behandlingen haft stöd i den rättsliga
grunden allmänt intresse enligt artikel artikel 6.1 e i dataskyddsförordningen.
Rättslig reglering
I artikel 6.1 e i dataskyddsförordningen anges att personuppgiftsbehandling är laglig
om den är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den
personuppgiftsansvariges myndighetsutövning. Enligt artikel 6.3 i dataskydds-
förordningen ska den grund för behandlingen som avses i artikel 6.1 e fastställas i
enlighet med unionsrätten eller en medlemsstats nationella rätt som den
personuppgiftsansvarige omfattas av.
I artikel 6.1 f dataskyddsförordningen anges att en personuppgiftsbehandling är laglig
om den är nödvändig för ändamål som rör den personuppgiftsansvariges eller
tredje parts berättigade intressen, om inte den registrerades intressen eller
grundläggande rättigheter och friheter väger tyngre och kräver skydd av
personuppgifter.
Bestämmelsen föreskriver således tre kumulativa villkor som måste vara uppfyllda för
att personuppgiftsbehandling ska vara tillåten.7 Den första förutsättningen är att de
intressen som behandlingen avser att skydda måste utgöra berättigade intressen för
den personuppgiftsansvarige eller en tredje part. Det berättigade intresset ska vara
lagligt, vilket innebär att det inte får stå i strid med vare sig EU-rätt eller nationell rätt.8
Vidare ska intresset vara klart och tydligt formulerat och gälla ett faktiskt intresse som
7 Jfr EU-domstolens dom M.I.C.M., C-597/19, EU:C:2021:492, p. 106 och EDPB:s riktlinjer Guidelines 1/2024 on
processing of personal data based on Article 6(1)(f) GDPR (version 1.0 antagna den 8 oktober 2024 för publik
konsultation), p. 6. Observera att riktlinjerna inte har blivit slutligt antagna av EDPB vid tidpunkten för det här beslutet.
8 Se EU-domstolens dom Koninklijke Nederlandse Lawn Tennisbond, C-621/22, EU:C:2024:857, p. 49.
Page 5 of 16
Integritetsskyddsmyndigheten Diarienummer: IMY-2024-1521 6(16)
Datum: 2025-06-18
föreligger vid tidpunkten för behandlingen och inte är hypotetiskt.9 Om en
personuppgiftsansvarig inte bara agerar i sitt eget berättigade intresse (t.ex. sitt
affärsintresse), utan också i hela samhällets intressen, väger detta intresse i regel
tyngre än annars.10
Den andra förutsättningen är att behandlingen är nödvändig för ett ändamål som rör
det berättigade intresset. Det innebär att det berättigade intresset inte rimligen kan
uppnås på ett lika effektivt sätt genom andra medel som i mindre utsträckning
inkräktar på de registrerades grundläggande fri- och rättigheter, i synnerhet rätten till
skydd för privatlivet och rätten till skydd för personuppgifter enligt artiklarna 7 och 8 i
Europeiska unionens stadga om de grundläggande rättigheterna (EU:s rättighets-
stadga).11 Av praxis följer även att kravet på nödvändighet ska prövas tillsammans
med principen om uppgiftsminimering enligt artikel 5.1 c i dataskyddsförordningen
vilken föreskriver att de personuppgifter som samlas in ska vara adekvata, relevanta
och inte för omfattande i förhållande till de ändamål för vilka de behandlas.12
Den tredje förutsättningen är att de registrerades grundläggande fri- och rättigheter
(integritetsintresset) inte väger tyngre än det berättigade intresse som behandlingen
avser att skydda. Bedömningen ska göras utifrån de konkreta omständigheterna i det
enskilda fallet. Den personuppgiftsansvarige ska bland annat identifiera och beakta
den registrerades intressen samt rättigheter och friheter, behandlingens påverkan på
den registrerade och huruvida den registrerade rimligen kunde förvänta sig behandling
för det aktuella ändamålet.13
I enlighet med principen om ansvarsskyldighet i artikel 5.2 i dataskyddsförordningen är
det den personuppgiftsansvariga ansvara för och kunna visa att reglerna i
dataskyddsförordningen följs och däribland att behandlingen är laglig.
Vad SL har uppgett
SL anser att bolaget har ett berättigat intresse av att behandla personuppgifter på det
sätt som sker. Det berättigade intresset med behandlingen är att säkerställa
säkerheten för resenärerna i kollektivtrafiken. Region Stockholm bedriver kollektivtrafik
på vatten utifrån beslut om allmän trafikplikt och ett antal trafikavtal. Kollektivtrafiken
på vatten bedrivs genom SL och Waxholms Ångfartygs Aktiebolag (WÅAB). SL är
ansvarig för att kollektivtrafiken inom bolagets ansvarsområde bedrivs på ett säkert
sätt. SL:s avsikt med att nykterhetstesta befälhavare har varit att garantera säkerheten
för passagerare, arbetstagare och trafikanter i kollektivtrafiken. SL har övervägt det
integritetstrång det riskerar att medföra för befälhavare i samband med utförande av
nykterhetstester. SL har bedömt att intresset av nyktra befälhavare överväger det
integritetstrång som riskerar att följa för berörda befälhavare. SL har bedömt att det är
nödvändigt att behandla personuppgifter för att uppnå ändamålet. Det går inte att
uppnå ändamålet utan att de aktuella personuppgifterna behandlas. SL har genomfört
en dokumenterad konsekvensbedömning med resultat att behandlingen kan ske.
Trafikförvaltningen i Region Stockholm har i Trafiksäkerhetspolicy för sjötrafiken
fastställt att fartyg inom trafikförvaltningens successivt ska förses med tillförlitliga
alkolås och att enhetliga rutiner ska finnas för hur dessa ska användas. Av
trafikförvaltningens säkerhetsbestämmelser SSA SÄB 0478 framgår vidare att alla
fordon inklusive fartyg inom kollektivtrafiken ska ha alkolås och att arbete pågår med
9 EU-domstolens dom Asociaţia de Proprietari bloc M5A-ScaraA, C-708/18, EU:C:2019:1064, p. 44.
10 EU-domstolens dom i mål C-708/18, p. 44.
11 EU-domstolens dom i mål C-708/18, p. 47.
12 EU-domstolens dom i mål C-708/18, p. 48.
13 Se EDPB:s riktlinjer 1/2024, p. 32–34.
Page 6 of 16
Integritetsskyddsmyndigheten Diarienummer: IMY-2024-1521 7(16)
Datum: 2025-06-18
införande av alkolås för fartygsflottan. SL:s krav på att alkoholmätare används och
kravet på att befälhavare genomför utandningsprov och lagring av resultatet hos
trafikutövaren medför att behandlingen får anses bli nödvändig.
SL har minimerat antalet personuppgifter som behandlas för att uppfylla syftena med
behandlingen. Vid anställning hos trafikutövaren informeras blivande personal om
nolltolerans avseende alkohol och droger och de anställda har tillgång till den gällande
alkohol- och drogpolicyn.
SL har vidtagit och övervägt andra åtgärder för att uppnå syftet med behandlingen.
Inga av åtgärderna har bedömts säkerställa det övergripande behovet av att förare
inom kollektivtrafik aldrig framför fartyg alkoholpåverkade. SL framställer krav gällande
sjösäkerhet relaterad till alkohol och droger vid upphandlingar av kollektiv sjötrafik. Av
den senaste upphandlingen framgår krav på att trafikutövare ska ha en fastställd policy
för förebyggande arbete mot alkohol och droger. Trafikutövare har en skyldighet att
utöva tillsyn och genomföra kontroller för att uppfylla SL:s krav på trygghet och
säkerhet. Genomförda kontroller redovisas årligen i syfte att SL tillsammans med
trafikutövaren ska kunna utvärdera och vidta åtgärder för säker sjötrafik. Trafik-
utövaren ska genomföra alkohol- och drogtester på den personal som arbetar med
framförande av fartygen genom så kallade stickprov två gånger per år. Utöver stick-
provskontroller uppställs krav på alkohol- och drogtester i samband med olyckor och
tillbud. Det ska framhållas att det enda sättet att säkerställa att en befälhavare för ett
fartyg är nykter vid framförandet av fartyget är att utföra ett nykterhetstest omedelbart
innan fartygets avgång. Det är inte tillräckligt att använda sig av slumpmässiga
nykterhetstester och informera om gällande alkohol och drogpolicy i samband med
anställning.
Ett teoretiskt annat sätt för att uppnå syftet med behandlingen skulle vara installation
av alkolås i fartyg. SL uppfattar att behandlingen i samband med sådan mekanism
skulle medföra likvärdiga intrång i de registrerades integritet, eftersom nödvändig
uppföljning av varför ett visst fartyg inte kan framföras på grund av alkolås vid en viss
tidpunkt skulle ge upphov till motsvarande typ av personuppgiftsbehandling.
Vid införandet av nykterhetstester har SL konstaterat att tidigare genomförda åtgärder
inte säkerställer SL:s behov. SL har inte kunnat identifiera några mindre integritets-
ingripande åtgärder än de som införts i samband med nykterhetstesterna och på det
sätt som resultaten av kontrollerna hanteras. SL anser vidare att bolagets berättigade
intresse av att genomföra behandlingen väger tyngre än de registrerades intressen.
Vad gäller den rättsliga grunden allmänt intresse har SL framfört att den verksamhet
som Region Stockholm, som kollektivtrafikmyndighet, bedriver utgör ett allmänt
intresse. SL som är ansvariga för kollektivtrafiken har en lagstadgad skyldighet att
bedriva kollektivtrafik på ett säkert sätt för såväl resenärer som för anställda.
IMY:s bedömning av den rättsliga grunden intresseavvägning
Berättigat intresse
SL har uppgett att bolaget har ett berättigat intresse av att behandla klagandens
personuppgifter för att säkerställa säkerheten i kollektivtrafiken och att fartyg inte
framförs under alkoholpåverkan. IMY finner att SL:s intresse av att behandla
personuppgifter i syfte att säkerställa säkerheten inom kollektivtrafiken är ett viktigt
samhällsintresse som utgör ett berättigat intresse i dataskyddsförordningen mening.
Page 7 of 16
Integritetsskyddsmyndigheten Diarienummer: IMY-2024-1521 8(16)
Datum: 2025-06-18
Nödvändighet
IMY ska vidare pröva om den aktuella behandlingen har varit nödvändig för att uppnå
syftet med personuppgiftsbehandlingen.
SL har i denna del uppgett att bolaget har undersökt andra lämpliga och mindre
integritetskänsliga åtgärder för att uppnå syftet med behandlingen och att bolaget inte
har kunnat identifiera några mindre integritetsingripande åtgärder för att uppnå syftet
med den aktuella behandlingen. SL har identifierat installation av alkolås i fartyg som
ett teoretiskt alternativt sätt att uppnå syftet med behandling. SL har dock bedömt att
nödvändig uppföljning av varför ett visst fartyg inte kan framföras på grund av alkolås
vid en viss tidpunkt är att anses som motsvarande typ av personuppgiftsbehandling
som den behandling som klagomålet gäller.
Nödvändighetsrekvisitet ska, som nämnts, prövas tillsammans med principen om
uppgiftsminimering. IMY konstaterar att från det att utandningsproverna infördes i
oktober 2021 till de stoppades i augusti 2022 har SL saknat formella gallringsrutiner för
dessa. Det har medfört att klagandens provresultat, från de i genomsnitt två
utandningsproven per arbetspass som han genomfört under perioden, har registrerats
och lagrats i SL:s system under en lång tid om flera månader. SL har uppgett att en
längre lagringstid än sju dagar inte har varit motiverad vare sig för uppföljning av
resultaten eller av några andra skäl. IMY anser att det därmed får anses stå klart att
syftet med en säker kollektivtrafik och förhindrande av att fartyg framförs under
alkoholpåverkan har kunnat uppnås utan en sådan omfattande behandling av
klagandens personuppgifter som genomförts under perioden. Redan mot denna
bakgrund bedömer IMY, även med beaktande av att det vid ett tillfälle under perioden
gjorts en gallring av samtliga uppgifter i systemet, att behandlingen inte har varit
nödvändig för att uppnå det berättigade intresset.
Vidare har SL identifierat alkolås som ett alternativt sätt att uppnå syftet med
behandlingen. IMY delar inte SL:s bedömning av att den personuppgiftsbehandling
som användandet av alkolås skulle medföra, såsom den beskrivits av bolaget, skulle
innebära ett likvärdigt intrång i klagandens integritet i förhållande till den som
genomförts. IMY anser att personuppgiftsbehandling i form av utredning vid behov och
först när ett alkolås förhindrat ett fartygs framförande skulle inskränka klagandens
integritetsskydd i mindre utsträckning jämfört med den aktuella behandlingen av
personuppgifter, där varje resultat från utandningsprov oavsett resultat har registrerats
och, under den tid som tillsynen omfattar, lagrats på obestämd tid i vart fall under flera
månader. IMY bedömer därför att det även med beaktande av denna omständighet
kan konstateras att den aktuella behandlingen har kunnat uppnås med mindre
ingripande åtgärder.
Sammanfattningsvis bedömer IMY att behandlingen av klagandens personuppgifter
inte har varit nödvändig för att uppnå SL:s berättigade intresse och att samtliga villkor
för att behandlingen ska kunna grunda sig på artikel 6.1 f inte är uppfyllda.
Behandlingen av klagandens personuppgifter har därmed inte haft stöd i den rättsliga
grunden intresseavvägning.
IMY:s bedömning av den rättsliga grunden allmänt intresse
IMY har bedömt att SL inte har kunnat stödja behandlingen av klagandens
personuppgifter på artikel 6.1 f i dataskyddsförordningen eftersom den inte varit
nödvändig för att uppnå syftet med behandlingen. IMY konstaterar att för att en
behandling ska kunna stödja sig på artikel 6.1 e i dataskyddsförordningen krävs det att
Page 8 of 16
Integritetsskyddsmyndigheten Diarienummer: IMY-2024-1521 9(16)
Datum: 2025-06-18
behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse som följer av
unionsrätt eller nationell rätt. Bestämmelsen innehåller alltså ett motsvarande krav på
nödvändighet som i artikel 6.1 f i förordningen. IMY har bedömt att behandlingen av
klagandens personuppgifter inte har varit nödvändig för att uppnå syftet med en säker
kollektivtrafik eftersom behandlingen har kunnat uppnås på ett lika effektivt sätt genom
mindre ingripande personuppgiftsbehandling. Mot bakgrund av att kravet på
nödvändighet inte är uppfyllt har därmed behandlingen av klagandens personuppgifter
inte heller kunnat göras med stöd av den rättsliga grunden allmänt intresse.
IMY konstaterar sammanfattningsvis att SL inte har haft rättslig grund för behandlingen
av klagandens personuppgifter i samband med utandningsprov som genomförts under
perioden oktober 2021–augusti 2022. SL har därmed behandlat klagandens
personuppgifter i strid med artikel 6 i dataskyddsförordningen.
Behandling av känsliga uppgifter
Rättslig reglering
Uppgifter om hälsa utgör sådana särskilda kategorier av personuppgifter, så kallade
känsliga personuppgifter, som ges ett särskilt starkt skydd enligt dataskydds-
förordningen. Det är som huvudregel förbjudet att behandla sådana personuppgifter
enligt artikel 9.1 i dataskyddsförordningen, om inte behandlingen omfattas av något av
undantagen i artikel 9.2 i förordningen.
Av artikel 9.2 g följer att förbudet mot att behandla känsliga personuppgifter inte gäller
om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av
unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det
eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd
och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den
registrerades grundläggande rättigheter och intressen.
Enligt praxis ska begreppet känsliga personuppgifter ges en vid tolkning och omfattar
även uppgifter som indirekt avslöjar sådan information.14
Uppgifter om hälsa definieras i artikel 4.15 i dataskyddsförordningen som person-
uppgifter som rör en fysisk persons fysiska eller psykiska hälsa vilka ger information
om dennes hälsostatus. Av skäl 35 till dataskyddsförordningen framgår att person-
uppgifter om hälsa bör innefatta alla de uppgifter som hänför sig till en registrerad
persons hälsotillstånd som ger information om den registrerades tidigare, nuvarande
eller framtida fysiska eller psykiska hälsotillstånd, inbegripande bland annat uppgifter
som härrör från tester eller undersökning av en kroppsdel eller kroppssubstans.
Av lydelsen i artikel 4.15 i dataskyddsförordningen, som preciseras genom skäl 35 i
förordningen, följer att det som är avgörande för att fastställa huruvida vissa person-
uppgifter utgör uppgifter om hälsa är huruvida det är möjligt att utifrån uppgifterna
i fråga dra slutsatser om den registrerades hälsotillstånd.15
Europeiska dataskyddsstyrelsen (EDPB) har uttalat i riktlinjer om automatiserat
individuellt beslutsfattande och profileringatt profilering kan skapa känsliga
personuppgifter genom att dra slutsatser från och kombinera uppgifter som inte är
känsliga. Enligt EDPB kan det exempelvis vara möjligt att dra en slutsats om någons
14 EU-domstolens domar Lindqvist, C-101/01, EU:C:2003:596, p. 50, Vyriausioji tarnybinės etikos komisija, C-184/20,
EU:C:2022:601, p. 125–127 och Lindenapotheke, C-21/23, EU:C:2024:846, p. 84, 89–91 och 94.
15 Se förslag till avgörande av generaladvokat i EU-domstolens mål NADA C-115/22, EU:C_2023:676, p. 97.
Page 9 of 16
Integritetsskyddsmyndigheten Diarienummer: IMY-2024-1521 10(16)
Datum: 2025-06-18
hälsostatus från uppgifter om deras matinköp tillsammans med uppgifter om matens
kvalitet och energiinnehåll.16
Vad SL har uppgett
Den eventuella behandlingen av känsliga personuppgifter har stöd i artikel 9.2 g i
dataskyddsförordningen. SL har bedömt att det har varit nödvändigt att behandla
personuppgifter för att uppnå en säker kollektivtrafik. SL utför arbete där människors
liv kan vara i direkt fara om befälhavare ombord är alkoholpåverkade i samband med
arbete på fartygen. Trafiksäkerheten utgör ett viktigt allmänt intresse och kräver att SL
nykterhetstestar befälhavare för att tillförsäkra personal, passagerare och
medtrafikanter en trygg kollektivtrafik. Vid en sammantagen bedömning av de
säkerhetskrav som framgår i sjölagen (1994:1004) och fartygssäkerhetslagen
(2003:365) har SL funnit att behandlingen är nödvändig. SL har ansett att nykterhets-
testerna är en obligatorisk åtgärd för att tillgodose säkerheten ombord och de
skyldigheter som följer av lag. Den metod som använts vid testerna har varit noga
avvägd och bedömts vara den minst integritetskränkande för ändamålet.
SL har vidare uppgett att något positivt resultat vid utförande av nykterhetstester aldrig
påträffats. SL kan således inte anses ha behandlat känsliga personuppgifter.
Avsaknaden av ett positivt resultat kan inte anses utgöra behandling av känsliga
personuppgifter om hälsa. Vidare är den tekniska utrustning som använts för
genomförande av nykterhetstester utformad på ett sådant sätt att promillenivån endast
visas då resultatet överskridit laglighetsgränsen. Resultatet lagras endast under sju
dagar, vilket innebär att det inte är möjligt att uppmärksamma eventuella mönster eller
riskbeteenden över tid som i eventuella fall skulle kunna innebära en behandling av
känsliga personuppgifter. SL är därför av uppfattningen att känsliga personuppgifter
varken faktiskt har, eller potentiellt skulle kunna, behandlas genom systemet för
nykterhetstester som SL infört.
IMY:s bedömning
Det framgår av utredningen i ärendet att uppgifter från samtliga utandningsprov som
klaganden utfört har lagrats under perioden oktober 2021–maj 2022 och gallrats i maj
2022. IMY konstaterar vidare att det framgår att behandlingen därefter har fortsatt och
att det, även om SL i april 2022 framställt ett förslag till beslut om gallring efter sju
dagar, saknades det ett formellt beslut som möjliggjorde gallring av uppgifterna även
under perioden maj 2022–augusti 2022. Det är således fråga om en omfattande och
regelbunden behandling av uppgifter om resultat av klagandens utandningsprov under
längre tidsperiod. Inga positiva resultat om klaganden har registrerats.
I bedömningen av om behandlingen har omfattat känsliga personuppgifter beaktar IMY
särskilt att begreppet ”uppgifter om hälsa” ska ges en vid tolkning och att det är möjligt
att skapa känsliga uppgifter genom insamling av icke-känsliga uppgifter. Vidare
beaktas att en uppgift om hälsa kan ha olika grad av känslighet. Känsligheten i en viss
uppgift är dock inte av betydelse för huruvida en uppgift utgör en uppgift om hälsa i
dataskyddsförordningens mening. Det kan vidare konstateras att även uppgifter som
gör det möjligt att dra slutsatsen att någon inte lider av ett visst sjukdomstillstånd kan
vara en uppgift om den personens hälsa.
I det aktuella ärendet är det fråga om behandling av en stor mängd personuppgifter i
form av resultat från alkoholutandningsprov under flera månaders tid. Mot bakgrund av
omfattningen av behandlingen i det enskilda fallet bedömer IMY att det utifrån de
16 Riktlinjer om automatiserat individuellt beslutsfattande och profilering enligt förordning (EU) 2016/679
WP251rev.01, s.16.
Page 10 of 16
Integritetsskyddsmyndigheten Diarienummer: IMY-2024-1521 11(16)
Datum: 2025-06-18
insamlade uppgifterna har varit möjligt att dra slutsats om klagandens
hälsostatusgenom. SL har därmed behandlat uppgifter om klagandens hälsa i den
mening som avses i artikel 4.15 i dataskyddsförordningen.
För att en behandling av känsliga personuppgifter om hälsa ska vara laglig måste den
omfattas av något av undantagen i artikel 9.2 i dataskyddsförordningen. SL har
uppgett att den aktuella behandlingen haft stöd i artikel 9.2 g.
IMY konstaterar att en förutsättning för att behandling av känsliga personuppgifter ska
vara laglig enligt någon av punkterna i artikel 9.2 är att behandlingen har stöd i en
rättslig grund.17 Eftersom IMY ovan bedömt att SL saknat rättslig grund för
behandlingen kan det redan av det skälet konstateras att behandlingen inte heller är
tillåten enligt artikel 9 i dataskyddsförordningen.
Vidare har IMY bedömt att SL inte har kunnat stödja behandlingen av klagandens
personuppgifter på artikel 6.1 f i dataskyddsförordningen eftersom den inte varit
nödvändig för att uppnå syftet med behandlingen. IMY konstaterar att undantaget i
artikel 9.2 g är tillämpligt på behandling som är nödvändig med hänsyn till ett viktigt
allmänt intresse som följer av unionsrätten eller nationell rätt. Även denna
bestämmelse innehåller således alltså ett motsvarande krav på nödvändighet som i
artikel 6.1 f. Eftersom IMY bedömt att detta krav inte är uppfyllt i förhållande till det av
SL åberopade allmänna intresset av säker kollektivtrafik har behandlingen av känsliga
personuppgifter inte kunnat grunda sig på artikel 9.2 g i dataskyddsförordningen.
IMY bedömer sammanfattningsvis att SL saknat stöd i något av undantagen i artikel
9.2 från förbudet att behandla känsliga personuppgifter. SL har därmed behandlat
klagandens personuppgifter i strid med artikel 9 i dataskyddsförordningen.
Val av ingripande
Rättslig reglering
Vid överträdelser av dataskyddsförordningen har IMY ett antal korrigerande
befogenheter att tillgå enligt dataskyddsförordningen. Av artikel 58.2 i
dataskyddsförordningen följer att IMY i enlighet med artikel 83 ska påföra
sanktionsavgifter utöver eller i stället för andra korrigerande åtgärder som avses i
artikel 58.2, beroende på omständigheterna i varje enskilt fall.
Varje tillsynsmyndighet ska säkerställa att påförandet av administrativa sanktions-
avgifter i varje enskilt fall är effektivt, proportionellt och avskräckande. Det anges i
artikel 83.1 i dataskyddsförordningen.
I artikel 83.2 anges de faktorer som ska beaktas för att bestämma om en administrativ
sanktionsavgift ska påföras, men också vad som ska påverka sanktionsavgiftens
storlek. Av betydelse för bedömningen av överträdelsens allvar är bland annat dess
karaktär, svårighetsgrad och varaktighet. EDPB har antagit riktlinjer om beräkning av
administrativa sanktionsavgifter enligt dataskyddsförordningen som syftar till att skapa
en harmoniserad metod och principer för beräkning av sanktionsavgifter.18
Enligt artikel 83.5 ska det vid överträdelser av bland annat artiklarna 6 och 9 påföras
administrativa sanktionsavgifter på upp till 20 000 000 EUR eller, om det gäller ett
17 EU-domstolens dom den 21 december 2023, Krankenversicherung Nordrhein, mål C-667/21, p. 79.
18 Guidelines 04/2022 on the calculation of administrative fines under the GDPR.
Page 11 of 16
Integritetsskyddsmyndigheten Diarienummer: IMY-2024-1521 12(16)
Datum: 2025-06-18
företag, på upp till 4 procent av den totala globala årsomsättningen under föregående
budgetår, beroende på vilket värde som är högst.
I artikel 83.3 anges att om en personuppgiftsansvarig, med avseende på en och
samma eller sammankopplade uppgiftsbehandlingar, överträder flera av
bestämmelserna i förordningen får den administrativa sanktionsavgiften inte överstiga
det belopp som fastställs för den allvarligaste överträdelsen.
Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i
stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b i
förordningen.
Vad SL har uppgett
SL har uppgett att för det fall IMY bedömer att bolaget har behandlat personuppgifter
utan lagligt stöd bör i första hand en reprimand påföras i stället för en sanktionsavgift.
SL:s enda syfte med nykterhetstesterna är att trygga resenärers och anställdas
säkerhet i kollektivtrafiken. SL har vidtagit långtgående åtgärder för att säkerställa att
integritetsintrånget för den registrerade utgjort det minsta möjliga. SL har begränsat
antalet personer som varit föremål för nykterhetstester samt har minimerat lagringstid,
antalet uppgifter som lagrats och personer som har haft möjlighet att avläsa resultatet
för att kunna vidta åtgärder vid ett positivt resultat. Därutöver har kontinuerlig dialog
mellan trafikutövaren och SL skett för att säkerställa att nykterhetstester genomförs på
ett ändamålsenligt sätt. SL har som ett resultat av dialogen vid flera tillfällen pausat
användandet av nykterhetstester för att åtgärda och utreda frågor som uppkommit
under tiden. Inga känsliga personuppgifter har faktiskt eller potentiellt kunnat
behandlas. Det har inte heller skett någon säkerhetsincident som inneburit risker för
klaganden. En sanktionsavgift skulle vid beaktande av situationen som helhet och de
omständigheter som framförts av SL innebära en oproportionell åtgärd som är
kontraproduktiv. En reprimand med föreläggande om hur behandlingen bör justeras för
att den ska vara laglig framstår som mer ändamålsenlig.
Om IMY beslutar att påföra en sanktionsavgift ska beaktas att behandlingen har varit
proportionerlig och nödvändig i förhållande till behandlingens ändamål. Den utrustning
som använts vid utförande av nykterhetstester har efter utredning ansetts vara den
minst integritetskränkande för det fastställda ändamålet. Nykterhetstesterna har under
flera tillfällen avbrutits på grund av tekniska skäl och för att utreda synpunkter. Den
faktiska tiden för bruk av nykterhetstester har därför varit mycket begränsad och
antalet utförda tester har därmed varit förhållandevis få. SL har sedan IMY beslutat att
inleda tillsyn samarbetat och tillhandahållit information vid begäran. SL har också varit
noggranna med att inkomma med rättelser för det fall felaktig information har lämnats.
SL ägs tills 100 procent av Region Stockholm. Regionen utövar ett aktivt ägande i SL
och har ett betydande rättsligt inflytande i beslutsfattande över hur bolaget ska bedriva
sin verksamhet och fullgöra myndighetens uppdrag. SL utgör således ett offentligägt
bolag där majoriteten finansieras med skattefinansierade medel och bolaget bör därför
inte påföras en högre sanktionsavgift än vad som kan påföras en myndighet. SL är
aktiebolag men ska mot bakgrund av gällande struktur väsentligt likställas med en
myndighet vid fullgörande av Region Stockholms uppdrag som kollektivtrafik-
myndighet. En eventuell sanktionsavgift bör vara väsentligt lägre än för ett
kommersiellt bolag med vinstsyfte och ska endast bedömas utifrån omständigheterna i
det aktuella ärendet. Vidare bör beaktas att tillhandahållandet av kollektivtrafik på
Page 12 of 16
Integritetsskyddsmyndigheten Diarienummer: IMY-2024-1521 13(16)
Datum: 2025-06-18
vatten utgör en liten del av SL:s sammantagna verksamhet. SL noterar vidare att
handläggningen för tidigare tillsynsärende och nuvarande tillsyn pågått i drygt två år.
IMY:s bedömning
Sanktionsavgift ska påföras
IMY har funnit att SL har behandlat klagandens personuppgifter i strid med artiklarna 6
och 9 i dataskyddsförordningen. Det innebär att SL, även med beaktande av att
behandlingen periodvis pausats, under en längre tid har samlat in och lagrat känsliga
personuppgifter om klaganden i hans egenskap av anställd utan rättsligt stöd. Mot
denna bakgrund bedömer IMY att det inte är fråga om sådana mindre allvarliga
överträdelser som kan medföra att en reprimand utfärdas i stället för en
sanktionsavgift.
EU-domstolen har klargjort att det krävs att den personuppgiftsansvariga har begått en
överträdelse uppsåtligen eller av oaktsamhet för att administrativa sanktionsavgifter
ska kunna påföras enligt dataskyddsförordningen. EU-domstolen har härvid uttalat att
personuppgiftsansvariga kan påföras sanktionsavgifter för ageranden om de inte kan
anses ha varit okunniga om att agerandet utgjorde en överträdelse, oavsett om de
varit medvetna om att de åsidosatte bestämmelserna i dataskyddsförordningen.19
SL är i egenskap av personuppgiftsansvarig för den personuppgiftsbehandling som
sker inom bolaget och för att den sker i enlighet med gällande regelverk. SL har
behandlat klagandens personuppgifter i strid med dataskyddsförordningen genom att
behandla personuppgifterna utan rättslig grund i artikel 6 och utan att något av
undantagen från förbudet mot att behandla känsliga personuppgifter i artikel 9 varit
tillämpligt. IMY bedömer att bolaget inte kan anses ha varit okunnigt om att agerandet
inneburit en överträdelse av förordningen. IMY anser mot denna bakgrund att bolaget
har varit oaktsamt i förhållande till de överträdelser av dataskyddsförordningen som
konstaterats. Det finns därmed förutsättningar för att påföra bolaget en administrativ
sanktionsavgift.
Utgångspunkter för beräkningen av sanktionsavgiften
Den maximala sanktionsavgiften som gäller för företag vid överträdelser av artiklarna 6
och 9 uppgår till det belopp som är högst av 20 000 000 EUR respektive 4 procent av
den totala globala årsomsättningen under föregående budgetår. Det finns inte stöd för
att i stället tillämpa de lägre högsta beloppen för sanktionsavgifter som gäller för
myndigheter enligt 6 kap. 2 § andra stycket i lagen (2018:218) med kompletterande
bestämmelser till EU:s dataskyddsförordning eftersom SL inte är en myndighet utan ett
privaträttsligt organ.20
Vid bestämmande av maxbeloppet för en sanktionsavgift som ska påföras ett företag
ska den definition av begreppet företag användas som EU-domstolen använder vid
tillämpning av artiklarna 101 och 102 i EUF-fördraget. Beräkningen av maxbeloppet för
en personuppgiftsansvarig som utgör ett sådant företag eller ingår i ett sådant företag
ska ske på grundval av en procentandel av det berörda företagets totala globala
19 EU-domstolens domar Nacionalinis visuomenes sveikatos centras, C-683/21, punkt 81 och Deutsche Wohnen, C-
807/21, p. 76.
20 Det är regeringsformens terminologi som är utgångspunkten vid tolkningen av begreppet myndighet enligt
dataskyddsförordningen. Enligt denna terminologi utgör organ som är organiserade i privaträttsliga former, t.ex.
statliga och kommunala bolag, inte myndigheter, även om de utövar offentlig makt. Se prop. 2017/18:105, s. 46 och
139.
Page 13 of 16
Integritetsskyddsmyndigheten Diarienummer: IMY-2024-1521 14(16)
Datum: 2025-06-18
årsomsättningen under föregående räkenskapsår.21 Begreppet företag ska även
beaktas för att bedöma den faktiska eller materiella ekonomiska kapaciteten hos den
person som påförs sanktionsavgiften och därigenom kontrollera om sanktionsavgiften
är effektiv, proportionell och avskräckande.22
Av domstolens praxis framgår att begreppet omfattar varje enhet som utövar
ekonomisk verksamhet, oavsett enhetens rättsliga form och sättet för dess finansiering
samt även om enheten i juridisk mening består av flera fysiska eller juridiska personer.
Olika företag inom samma koncern kan således bilda en ekonomisk enhet och därmed
ett företag i den mening som avses i artiklarna 101 och 102 i EUF-fördraget.23
Moderbolag och dotterbolag betraktas som en del av samma ekonomiska enhet när
moderbolaget utövar ett avgörande inflytande över dotterbolaget. Det avgörande
inflytandet (dvs. kontrollen) kan antingen uppnås genom ägande eller genom avtal. Av
rättspraxis framgår att ett hundraprocentigt eller nästan hundraprocentigt ägande
innebär en presumtion för att kontroll ska anses föreligga (den så kallade Akzo-
principen). Presumtionen kan dock motbevisas om företaget lämnar tillräcklig
bevisning för att styrka att dotterbolaget agerar självständigt på marknaden.24
SL är moderbolag i en koncern där SL står som ensam ägare till bolagen SL Nya
Tunnelbanan AB, AB SL Finans och WÅAB. Mot denna bakgrund bedömer IMY att
SL-koncernen, i enlighet med Akzo-principen som inte bedöms ha motbevisats, är en
sådan ekonomisk enhet som utgör ett företag enligt de utpekade bestämmelserna i
EUF-fördraget.
Vid bestämmande av maxbeloppet för sanktionsavgiften utgår IMY från SL:s års- och
koncernredovisning för år 2023 (eftersom årsredovisningen för 2024 inte fastställts vid
tidpunkten för beslutet). IMY bedömer att det är SL-koncernens årsomsättning för
2023 om 24 512 000 000 kr som ska läggas till grund för beräkningen av
sanktionsavgiften.25 Det innebär att det högsta beloppet som kan fastställas i ärendet
är 980 480 000 kr som motsvarar fyra procent av årsomsättningen.
Överträdelsernas allvar
Av EDPB:s riktlinjer framgår att tillsynsmyndigheten ska bedöma om överträdelserna
är av låg, medel, eller hög allvarlighetsgrad enligt artikel 83.2 a, b och g i dataskydds-
förordningen.26
Den behandling som överträdelserna gäller har med hänsyn till att den pågått under en
lång period om totalt drygt 9 månader och att klaganden uppskattningsvis har testats
två gånger per arbetspass varit omfattande. Behandlingen har vidare omfattat känsliga
personuppgifter om klaganden som samlats in inom ramen för hans anställning, en
situation då han befunnit sig i en beroendeställning i förhållande till sin arbetsgivare.
I bedömningen av allvarlighetsgraden fäster IMY dock även stor vikt vid att
behandlingen skett i syfte att upprätthålla säkerhet i kollektivtrafik och att tillsynen
endast omfattar behandling av en enskild klagandes personuppgifter. Vidare har
klaganden inte varit direkt identifierbar och till följd av åtgärder som SL vidtagit har
21 Se skäl 150 till dataskyddsförordningen och EU-domstolens dom Deutsche Wohnen, C-807/21, p. 57.
22 Se EU-domstolens dom ILVA, C-383/23, EU:C:2025:84, p. 36.
23 EU-domstolens dom Akzo Nobel, C-516/15 P, EU:C:2017:314, p. 48.
24 EU-domstolens dom Akzo Nobel and Others, C-97/08, EU:C:2009:536, p. 59–61
25 EDPB:s riktlinjer Guidelines 04/2022 on the calculation of administrative fines under the GDPR, punkt 130 och EU-
domstolens dom Groupe Gascogne SA v European Commission, C-58/12P,ECLI:EU:C:2013:770, punkterna 54–56.
26 EDPB:s riktlinjer 04/2022, p. 60.
Page 14 of 16
Integritetsskyddsmyndigheten Diarienummer: IMY-2024-1521 15(16)
Datum: 2025-06-18
endast ett fåtal personer haft tillgång till samtliga uppgifter som krävts för att identifiera
klaganden.
IMY bedömer mot bakgrund av ovanstående omständigheter att det sammantaget rör
sig om överträdelser av artiklarna 6 och 9 i datasskyddsförordningen av låg
allvarlighetsgrad.
IMY ska vid sin bedömning av sanktionsavgiftens storlek även ta hänsyn till sådana
försvårande och förmildrande faktorer som förtecknas i artikel 83.2 i dataskydds-
förordningen. SL har numer vidtagit åtgärder för att begränsa lagringstiden och har
även lyft fram att bolaget vid flera tillfällen pausat alkoholtesterna för att åtgärda och
utreda frågor som uppkommit under behandlingen. IMY anser inte att de vidtagna
åtgärderna går utöver vad som förväntas av bolaget i det aktuella fallet och att de
därför inte utgör sådana faktorer som ska påverka bedömningen av sanktionsavgiftens
storlek i förmildrande riktning. IMY konstaterar vidare att SL har haft en skyldighet att
samarbeta med IMY inom ramen för tillsynen och det är en sådan omständighet som
ska anses neutral vid bestämmandet av sanktionsavgiften.27 IMY bedömer att det inte
heller i övrigt framkommit några försvårande eller förmildrande omständigheter, utöver
de som beaktas vid bedömningen av allvarlighetsgraden, som påverkar
sanktionsavgiftens storlek. Mot bakgrund av ärendets komplexitet bedömer IMY att det
inte heller att ärendets handläggningstid ska leda till en lägre sanktionsavgift.28
Den administrativa sanktionsavgiften ska vara effektiv, proportionerlig och
avskräckande. Det innebär att beloppet ska bestämmas så att den administrativa
sanktionsavgiften leder till rättelse, att den ger en preventiv effekt och att den
dessutom är proportionerlig i förhållande till såväl aktuell överträdelse som till
tillsynsobjektets betalningsförmåga.
IMY bestämmer utifrån en samlad bedömning att SL ska betala en administrativ
sanktionsavgift på 75 000 kr. IMY bedömer att detta belopp är effektivt, proportionerligt
och avskräckande.
__________________________
Detta beslut har fattats av enhetschefen Nidia Nordenström efter föredragning av
avdelningsjuristen Maja Welander.
Nidia Nordenström
Bilagor
1. Klagandens personuppgifter
2. Information om hur man betalar en sanktionsavgift
Kopia till
Dataskyddsombudet
27 EDPB:s riktlinjer 04/2022, p. 95–98.
28 Kammarrätten i Stockholm har i två komplicerade tillsynsärenden bedömt att det inte funnits skäl att sätta ned
sanktionsavgiften på grund av ärendenas handläggningstid som uppgick till två år och sju månader respektive tre år.
Se Kammarrätten i Stockholms domar den 26 januari 2023 i mål nr 1552-22 och den 11 mars 2024 i mål nr 2829-23.
Page 15 of 16
Integritetsskyddsmyndigheten Diarienummer: IMY-2024-1521 16(16)
Datum: 2025-06-18
Hur man överklagar
Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni
överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY
inom tre veckor från den dag ni fick del av beslutet. Om ni är en part som företräder
det allmänna ska överklagandet dock ha kommit in inom tre veckor från den dag då
beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder IMY det vidare
till Förvaltningsrätten i Stockholm för prövning.
Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga
personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens
kontaktuppgifter framgår av beslutets första sida.
Page 16 of 16