Medarbetaren, som DN väljer att kalla Eva, lever med skyddad identitet sedan april 2022. Hon inkom med intyg om detta till arbetsgivaren i december 2022. Hon anser sedan att hennes identitet röjdes i juni 2023 – i samband med flytt till nya lokaler – när hennes fullständiga namn och förbundets adress skrevs ut på hemsidan.
Integritetsskyddsmyndigheten (IMY) har utrett hennes fall med hänvisning till paragraf 17.1d i dataskyddsförordningen, det vill säga att en registrerad har ”rätt till radering” och att det ska ske ”utan dröjsmål” om ”personuppgifterna har behandlats på olagligt sätt”.
Enligt Eva begärde hon under juli, augusti och september att uppgifterna skulle raderas – utan gensvar. Förbundet ifrågasätter dock detta och skrev i sitt svar till IMY att varken skriftliga eller muntliga underlag för begäran inkommit.
Enligt ett intyg i juli från Relationsvåldteamet i Evas stadsdel befinner sig Eva på farlighetsnivå 3 av 4 vid denna tid: ”allvarlig fara råder”. De råder henne att polisanmäla chefen, vilket hon gör.
Då visste fortfarande ingen var vi satt.
DN har tagit del av ett inspelat samtal mellan Eva och hennes chef i september, som också varit en del i IMY:s underlag, där chefen medger att han i mejl skrivit ut Evas fullständiga namn och förbundets nya adress och att hon finns på plats klockan 08–17.
Eva: ”Det är att röja min skyddade plats.”
Chefen: ”Nu tycker jag i och för sig att du övertolkar väldigt mycket.”
– Fram till att vi bytte kontorsadress så hade jag fixat med Riksidrottsförbundet så att vi fick ha kvar vår postbox hos dem. Då visste fortfarande ingen var vi satt. Jag ville fortsätta ha en postbox, berättar Eva.
I december 2023 anmäler Eva till IMY, som inleder ett tillsynsärende i april 2024. Först därefter, i maj, påbörjas processen om att ändra informationen på förbundets hemsida.
I sitt yttrande till IMY bestred Cykelförbundet att Evas uppgifter behandlats i strid med dataskyddsförordningen. Det angav även att Eva själv haft behörighet att ändra uppgifterna. Eva svarade att kunskapen att ändra en uppgift inte betyder att hon var personuppgiftsansvarig, utan att det ansvaret alltid åligger arbetsgivaren.
I sitt beslut bedömer IMY att förbundet varit personuppgiftsansvarig i ärendet. Myndigheten konstaterar också att ord står mot ord vad gäller om Eva inkom med begäran om radering. Men om en personuppgift behandlats på ett olagligt sätt så kan den personuppgiftsanvarige vara skyldig att radera uppgifter på eget initiativ, och de rekvisiten anses vara uppfyllda. IMY skriver: ”Ett obehörigt röjande av vistelseorten för en person som har skyddad folkbokföring kan medföra omedelbara risker för personens liv och hälsa … förbundets intresse väger förhållandevis lätt, då kontakter mellan intressenter och förbundet kan ske även utan att specifika befattningshavare namnges.”
Eva känner lättnad och glädje efter IMY:s beslut och att myndigheten bekräftar hennes syn på att personuppgifterna hanterats felaktigt.
– Det positiva beskedet betyder mycket för mig personligen, och jag känner mig stärkt och motiverad att fortsätta framåt efter en lång utdragen process, säger Eva.
IMY anser att överträdelsen inte är så kallat mindre allvarlig, då en reprimand kan utfärdas, utan beslutar att förbundet ska betala en sanktionsavgift.
En sanktionsavgift ska bedömas utifrån årsomsättning och förbundets intäkter för 2024 uppgick till 26 784 440 kronor. Sanktionsavgiften kunde därmed ha landat på ett miljonbelopp, om fyraprocentsregeln tillämpats, men även maxbeloppet 20 miljoner euro. Myndigheten gör dock bedömningen att då förbundet är en ideell verksamhet, utan kommersiellt syfte och till stor del finansierad av offentliga bidrag, är en avgift på 50 000 kronor tillräcklig i avskräckande syfte.
Jag är inte ute efter hämnd.
En omorganisation leder till att Eva i juni 2024 sägs upp på grund av arbetsbrist. Hon ser det som en efterföljande konsekvens av den polisanmälan hon gjorde.
– Cykelförbundet försökte svartmåla mig i svaret till IMY, de försökte påtala att jag har en agenda att skada förbundet. Jag är inte ute efter hämnd men jag vill gärna att det kommer ut vad de har gjort, säger Eva.
DN har varit i kontakt med Cykelförbundet som i detta läge väljer att inte kommentera Integritetsskyddsmyndighetens beslut.
Med IMY:s beslut som grund kommer Eva nu att gå vidare med en skadeståndsprocess mot Cykelförbundet.
