Datainspektionen granskar Stockholmsbörsens samarbete med FBI

Den nya börschefen har mer än den senaste veckans havererade börsnotering att bekymra sig över.

Den 15 oktober kom en anmälan in till Datainspektionen. Det var från en bemanningsanställd vid Stockholmsbörsen som anonymt anmält arbetsplatsen för att otillåtet samla in fingeravtryck och personuppgifter av anställda. Det krävs för att medarbetarna ska få tillgång till börsens amerikanska it-system.

Anmälaren skriver att Nasdaq OMX vill ”samla in fingeravtryck (+namn,vikt/längd,födelsenummer etc) på ett fåtal anställda för att dessa ska kunna få access till datorsystem lokaliserade i USA. Enligt uppgift är detta ett krav från FBI för ätt man ska få tillgång till dessa system.”

Personen skriver också att den givna anledningen är att ”FBI vill köra dessa avtryck mot sina databaser över skumt folk och tydligen lagra dem i all evighet för ev. framtida användbarhet.”

Carl Norell, presschef på Stockholmsbörsen, säger först att han inte känner till ärendet. Men efter att ha undersökt saken återkommer han senare via mejl och skriver att man har en ”pågående dialog med Datainspektionen och kan därför i nuläget inte gå in i några detaljer”

Carl Norell uppger att de ”medarbetare som vill få åtkomst till de amerikanska datasystemen från Stockholm måste lämna fingeravtryck som skickas till FBI för bakgrundskontroll.” Han skriver också att för den medarbetare som är obekväm med att lämna ut persondata till USA, finns det andra uppgifter och system att arbeta med.

Datainspektionen har nu inlett ett tillsynsärende. I ett brev till Stockholmsbörsen kräver Datainspektionen svar på 15 skarpa frågor, som:

”Stämmer det att ni har för avsikt att samla in fingeravtryck i enlighet med vad som görs gällande i klagomålet?” och

”Med vilket rättsligt stöd i personuppgiftslagen anser ni att insamlingen och den efterföljande hanteringen av personuppgifter är tillåten?”

Börsen uppmanas att motivera utförligt vilka bestämmelser i lagen som ger stöd för behandlingen.

”Vilken information har ni lämnat till de personer vars fingeravtryck ni avser att samla in? Hur har informationen lämnats och när?”

”Överförs de insamlade personuppgifterna till tredje land (land som inte är medlem i EU/EES)? Vilket rättsligt stöd i personuppgiftslagen har ni iså fall för överföringen? Beskriv noggrant och utförligt.”

Börsen har onekligen ett antal tuffa frågor framför sig. Senast den 13 januari kräver Datainspektionen svar.