Uppdaterat 31 mars 2021:
Beslut har fattats att inte använda Adobe analytics som webbanalysverktyg. Därför tas det bort från webbplatsen 31 mars 2021.
----
Den 17 mars blev Pensionsmyndigheten medveten om att ett uppsatt avtal med leverantör av webbanalysverktyg, Adobe Analytics, som reglerar förhållandet enligt GDPR-standard saknades. Personuppgiftsincidenten har rapporterats till IMY, Integritetsskyddsmyndigheten.
Sedan tidigare använder Pensionsmyndigheten en så kallad IP-anonymisering via Adobe analytics. Utifrån personuppgiftsincidenten krävs det fördjupad utredning kring det rättsliga förhållandet att besökarens IP-adress ändå förs över till USA, en så kallad tredjelandsöverföring. För att en tredjelandsöverföring ska vara tillåten krävs att det finns ett stöd för överföringen enligt GDPR. Överträdelsen mot reglerna i dataskyddsförordningen består i att IP-adresserna inte anonymiserats innan de skickats utan att anonymiseringen skedde i USA, vilket inneburit att personuppgifter har förts över till tredje land utan att det funnits stöd för överföringen.
Åtgärder som kommer att vidtas
- Uppdatering av funktionalitet kring kakor (cookies) på pensionsmyndigheten.se. Det innebär att du som besökare aktivt kan ge ditt samtycke till att använda icke nödvändiga kakor så som kakor för webbanalys.
- Uppdatering av information om kakor på pensionsmyndigheten.se med tydligare information om vilken data som samlas in via Adobe analytics och hur den används.
- Pensionsmyndigheten fortsätter att utreda kring det rättsliga förhållandet för att eventuellt vidta fler åtgärder, inklusive uppdatering av avtalet med Adobe för att säkerställa ett gott skydd av de personuppgifter som behandlas i Adobe analytics.
- Vi fortsätter att utreda om ytterligare åtgärder ska vidtas och kommer även att följa upp åtgärderna som listas ovan.
Vad är en ip-adress?
I Pensionsmyndighetens analysverktyg Adobe Analytics samlas IP-adresser in från webbplatsens besökare. IP-adress står för Internet Protocol och kan se ut så här 195.88.67.888. IP-adressen kan liknas vid ett telefonnummer, i det här fallet besökarens IP-adress, och innehåller inga direkta uppgifter om en enskild individ. En IP-adress klassas som en personuppgift. Denna IP-adress förs sedan över med kryptering till USA där de anonymiseras innan de lagras. Detta kan liknas med att Adobe Analytics sparar riktnumret i ett telefonnummer för att förstå antal besökare och geografisk tillhörighet.
Överträdelsen mot reglerna i dataskyddsförordningen består i att IP-adresserna inte anonymiserats innan de skickades utan att anonymiseringen skedde i USA. Det har inneburit att personuppgifter har förts över till tredjeland, utan att det funnits stöd för det.
Du kan ta del av vilka personuppgifter som behandlas hos Pensionsmyndigheten.
Varför anmäler Pensionsmyndigheten sig själva till IMY?
Det är en del av vår skyldighet som personuppgiftsansvarig organisation att anmäla personuppgiftsincidenter till Integritetsskyddsmyndigheten. När vi såg att ett avtal saknas för tredjelandsöverföring, där IP-adresser klassas som personuppgifter, anmälde vi oss själva.
Kontakt om webbanalysverktyget Adobe analytics
E-post: registrator@pensionsmyndigheten.se
