sou · GSB36d2 · 2005-01-01 00:00:00 — Inte heller en fastställelse- eller fullgörelsetalan vid allmän domstol hindras av förbudet mot överklagande av vissa myndighetsbeslut. Så snart en myndighet behandlat personuppgifter i strid med personuppgiftslagen uppkommer en principiell rätt till skadestånd för de registrerade som drabbats (se 48 §). Skadeståndsskyldighe- ten inträder oberoende av om myndigheten fattat något formellt beslut och oberoende av om ett beslut överklagats av den registre- rade. Även om ett myndighetsbeslut ändras efter överklagande, kan den registrerade ha rätt till skadestånd. Om en myndighet t.ex. i strid med personuppgiftslagen avslår en ansökan om registerutdrag och således inte lämnar sådant utdrag inom föreskriven tid, har skadeståndsskyldighet inträtt trots att beslutet ändras efter över- klagande och ett korrekt registerutdrag lämnas (för sent). Den registrerade kan således i flera fall i princip parallellt föra ta- lan i både allmän förvaltningsdomstol (om ändring av ett myndig- hetsbeslut genom överklagande) och allmän domstol (om t.ex. ska- destånd genom ansökan om stämning) om vad som i realiteten är samma sak, t.ex. frågan om det varit förenligt med personuppgifts- lagen att utelämna vissa uppgifter i ett registerutdrag. Den registre- rade kan dessutom påtala saken för Datainspektionen som obero- ende av processerna kan agera och t.ex. utnyttja sina befogenheter. I vissa fall kan Datainspektionens beslut överklagas hos allmän för- valtningsdomstol (i en tredje process). Det är uppenbart att de olika möjligheter som finns att parallellt få rättslig prövning av vad som i praktiken är samma sak innebär risk för kostnader och olägenheter som inte står i rimlig proportion till vad som står att vinna i processerna. Det är i sig ett skäl för att överväga om det verkligen är nödvändigt med (också) en möjlighet för enskilda att överklaga myndighetsbeslut. Sådana överväganden ingår emellertid inte i utredningsuppdraget, som innebär att utred- ningen har att föreslå hur myndighetsbeslut kan överklagas. Utredningen har därför övervägt om det finns andra vägar att minska riskerna för oproportionerliga kostnader och olägenheter. Motsvarande frågeställningar uppkommer t.ex. vid tillämpningen av antidiskrimineringslagstiftning. När en myndighet fattat ett beslut om tillsättning av en anställ- ning som påstås vara lagstridigt på grund av diskriminering finns både en möjlighet att överklaga tillsättningsbeslutet i administrativ ordning och en möjlighet att väcka talan om skadestånd vid allmän domstol eller Arbetsdomstolen enligt antidiskrimineringslagstift- ningen med anledning av beslutet. Det hade förekommit att paral- lella processer förts och att en sökande dels efter överklagande fått anställningen, dels dessutom fått skadestånd på grund av det un- danröjda, diskriminerande beslutet i lägre instans. I samband med en lagrådsremiss om en ny jämställdhetslag föreslog regeringen ett förbud mot överklagande av tillsättningsbeslut när det för den ar- betssökande redan väckts en skadeståndstalan i fråga om tillsätt- ningsbeslutet; om arbetssökanden hade överklagat tillsättningsbe- slutet innan skadeståndstalan väckts, skulle överklagandet anses ha förfallit i och med skadeståndstalan. Lagrådet ansåg emellertid att en mindre ingripande ordning var att föredra, nämligen att ett överklagande av tillsättningsbeslutet hindrar (inte väckande men väl) prövning av en skadeståndstalan med anledning av beslutet. Regeringen ansåg – slutligen – att det knappast kunde komma i frå- ga att avskaffa vare sig möjligheten att överklaga eller möjligheten att föra en skadeståndstalan och följde Lagrådets förslag.177 I anti- diskrimineringslagstiftningen finns nu oftast bestämmelser om att talan om skadestånd med anledning av ett beslut om tillsättning som har meddelats av en arbetsgivare med offentlig ställning inte får prövas innan anställningsbeslutet har vunnit laga kraft.178 Det anförda visar enligt utredningens mening att det är mindre lämpligt att, när den enskilde valt en viss överprövningsmöjlighet (överklagande eller talan vid allmän domstol), helt avskära hans eller hennes tillgång till andra överprövningsmöjligheter. Den mindre ingripande åtgärd man kan tänka sig är att förhindra paral- lella processer genom att föreskriva att, när den enskilde valt en viss överprövningsmöjlighet, skall förfarandena enligt andra överpröv- ningsmöjligheter avvakta utgången av den första processen. Utred- ningen anser emellertid att sådana föreskrifter vore av mindre värde eftersom de i sig inte förhindrar flera processer om i praktiken samma sak utan bara att processerna pågår . 1990/91:113 s. 92 f., 121 f. och 185 f. och jämför SOU 1990:41 s. 343 ff. 178Se 57 § jämställdhetslagen (1991:433), 39 § lagen (1999:130) om åtgärder mot etnisk diskriminering i arbetslivet, 27 § lagen (1999:132) om förbud mot diskriminering i ar- betslivet av personer med funktionshinder och 26 § lagen (1999:133) om förbud mot dis- kriminering i arbetslivet på grund av sexuell läggning samt vissa av lagförslagen i SOU 2002:43, jämför prop. 2002/03:65. Jämför dock lagen (2001:1286) om likabehandling av studenter i högskolan som inte innehåller någon motsvarande regel. Utredningen har sammanfattningsvis inte funnit någon lämplig väg att komma till rätta med den risk för olägenheter som finns med de olika överprövningsmöjligheter som står till buds. Utred- ningen föreslår alltså inte något i den delen. Såvitt utredningen känner till har det dock inte med den nuva- rande ordningen faktiskt uppkommit några olägenheter. Om det skulle uppkomma sådana olägenheter i praktiken, kan det finnas anledning att ånyo se över vilka överprövningsmöjligheter som bör finnas och hur de bör kunna användas. 14Särskilt om dom i konfirmandlärarmålet förhandsavgörande i det svenska s.k. konfirmand- lärarmålet (dom i mål C-101/01) har kortfat- tat presenterats i avsnitt 5.5.2 och berörs också, såvitt gäller all- männa slutsatser om en flexibel tolkning av EG-direktivet, i avsnitt 7.3.8. Utredningen har fått förlängd utredningstid för att kunna analysera och i förekommande fall ta hänsyn till domen.179 Utred- ningen har därför ansett det motiverat att i ett särskilt avsnitt redo- visa sina överväganden i fråga om domen bör föranleda några för- tydliganden i personuppgiftslagen. I avsnitt 8 analyseras om bl.a. domen i konfirmandlärarmålet ger tillräcklig vägledning för att precisera vad som faller utanför ge- menskapsrätten. I övrigt berör domen a)vad som är en behandling av personuppgifter som helt eller delvis företas på automatisk väg (artikel 3.1 i EG-direktivet och 5 § första stycket personuppgiftslagen), b)vad som utgör en känslig personuppgift (artikel 8.1 i EG- direktivet och 13 § personuppgiftslagen), c)undantaget för rent privat behandling (artikel 3.2 andra streck- satsen i EG-direktivet och 6 § personuppgiftslagen), d)vad som utgör en överföring av personuppgifter till tredje land (artikel 25.1 i EG-direktivet och 33 § första stycket personupp- giftslagen), e)förhållandet till andra fri- och rättigheter än rätten till skydd för privatlivet, t.ex. yttrandefriheten, och 179 Dir. 2003:53 och 2003:164. Särskilt om dom i konfirmandlärarmålet f) den nationella lagstiftningen om personuppgifter. Det bör inledningsvis slås fast att i de delar domen berör särskilda artiklar i EG-direktivet (punkterna a–d ovan) som genomförts ge- nom personuppgiftslagen har det i de svenska förarbetena uttryck- ligen angetts att den svenska lagen i aktuella delar skall ha samma innebörd som EG-direktivet. Av förarbetena framgår att man låtit personuppgiftslagen i stort sett följa EG-direktivets text, eftersom det är som sist och slutligen har att tolka de be- grepp och uttryck som EG-direktivet innehåller.180 Det är, såsom också angetts i förarbetena, som är exklusivt behö- rig att göra auktoritativa uttalanden om innebörden av EG- direktivet, och svenska domstolar har att vid tillämpning av lagtext som införts till genomförande av ett EG-direktiv att tolka lagen i överensstämmelse med EG-direktivet. dom om tolkningen får alltså ett direkt genom- slag vid svenska domstolars tillämpning av personuppgiftslagen. I formell mening är det därför inte nödvändigt att med anledning av dom ändra den svenska lagtexten. Vad som disku- teras i detta avsnitt är om det ändå är lämpligt att mot bakgrund av dom ändra personuppgiftslagen i syfte att förtydli- ga lagtexten. Utredningens bedömning: dom i det s.k. konfir- mandlärarmålet föranleder inga förslag till ändringar i personupp- giftslagen. har slagit fast följande: Omnämnandet av olika personer – med namn eller på annat sätt, till exempel med telefon- nummer eller med uppgifter om deras arbetsförhållanden och fri- tidsintressen – på en hemsida på Internet utgör en behandling av personuppgifter som helt eller delvis företas på automatisk väg, i den mening som avses i artikel 3.1 i [EG-direktivet]. 1997/98:44 s. 38. Särskilt om dom i konfirmandlärarmålet I domstolens motivering anges följande: 24 Begreppet personuppgifter, som används i artikel 3.1 i direktivet, innefattar i enlighet med definitionen i artikel 2 1 i direktivet i fråga varje upplysning som avser en identifierad eller identifierbar fysisk person. Detta begrepp omfattar absolut en persons namn tillsammans med dennes telefonnummer eller med uppgifter om vederbörandes ar- betsförhållanden eller fritidsintressen. 25 Vad gäller begreppet behandling av sådana uppgifter, som an- vänds i artikel 3.1 i direktiv /46, innefattar detta enligt definitionen i artikel 2 b i direktivet i fråga varje åtgärd eller serie av åtgärder som vidtas beträffande personuppgifter, vare sig det sker på automatisk väg eller inte. I den sistnämnda bestämmelsen anges flera exempel på såda- na åtgärder, bland annat utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter. Följaktligen skall åtgärden att på en hemsida på Internet lägga ut sådana personuppgifter anses utgöra sådan behandling. 26 Det skall även avgöras huruvida denna behandling helt eller del- vis företas på automatisk väg. I detta hänseende noterar domstolen att åtgärden att lägga ut uppgifter på en hemsida på Internet enligt de tek- niska dataprocesser som tillämpas innebär att ladda ner denna sida på en server samt de åtgärder som är nödvändiga för att göra denna sida tillgänglig för personer som har kopplat upp sig på Internet. Dessa transaktioner görs åtminstone delvis på automatisk väg. Enligt utredningens mening är det som slagit fast så självklart och redan så klart uttryckt i personuppgiftslagen (5 § för- sta stycket och definitionerna av behandling och personuppgift i 3 §) att något förtydligande inte behövs. Av förarbetena framgår att den svenska lagtexten i aktuella delar är avsedd att ha samma inne- börd som bestämmelserna i 14.2.2Känsliga personuppgifter som rör hälsa har slagit fast följande: En uppgift om att en per- son har skadat sin fot och är deltidssjukskriven utgör en person- uppgift om hälsa, i den mening som avses i artikel 8.1 i [EG- direktivet]. I domstolens motivering anges följande: Med hänsyn till syftet med detta direktiv skall uttrycket uppgifter som rör hälsa, vilket 1997/98:44 s. 117 och 118. Särskilt om dom i konfirmandlärarmålet används i artikel 8.1 i [EG-direktivet], ges en vid tolkning och an- ses omfatta uppgifter som rör alla aspekter, såväl fysiska som psy- kiska, av en persons hälsa. I 13 § andra stycket personuppgiftslagen talas det om sådana personuppgifter som rör hälsa, och i förarbetena anges att lagtex- ten är avsedd att ha samma innebörd som artikel 8.1 i EG- direktivet.182 Enligt utredningens mening ger lagtexten på ett till- räckligt tydligt sätt uttryck för den vida tolkning som EG- domstolen anbefallt. Att i lagtexten tala om t.ex. personuppgifter som rör alla aspekter, såväl fysiska som psykiska, av en persons häl- sa skulle enligt utredningens mening bara i onödan tynga lagtex- ten. 14.2.3Undantaget för rent privat behandling har slagit fast att omnämnandet av olika personer – med namn eller på annat sätt, till exempel med telefonnummer eller med uppgifter om deras arbetsförhållanden och fritidsintressen – på en hemsida på Internet inte omfattas av undantaget för privat behandling i artikel 3.2 i EG-direktivet. I domstolens motivering anges följande: Vad gäller det undan- tag som föreskrivs i artikel 3.2 andra strecksatsen i [EG-direktivet] nämns i tolfte skälet i [EG-direktivet] korrespondens eller förande av adressregister såsom exempel på en fysisk persons behandling av uppgifter uteslutande för personliga ändamål eller för hemmabruk. – Detta undantag skall således tolkas så, att det endast avser sådan verksamhet som utgör en del av enskildas privat- eller familjeliv, vilket uppenbart inte är fallet i fråga om sådan behandling av per- sonuppgifter som består i att de offentliggörs på Internet för att dessa uppgifter skall bli tillgängliga för ett obestämt antal perso- ner. Av 6 § personuppgiftslagen framgår att lagen inte gäller för så- dan behandling av personuppgifter som en fysisk person utför som ett led i en verksamhet av rent privat natur, och i förarbetena an- ges att lagtexten är avsedd att ha samma innebörd som artikel 3.2 andra strecksatsen i EG-direktivet.183 Vad man enligt utredningens mening kan överväga att klargöra i lagtexten är att detta inte gäller om behandlingen innebär att personuppgifterna offentliggörs på 1997/98:44 s. 124. 1997/98:44 s. 118. Särskilt om dom i konfirmandlärarmålet Internet för ett obestämt antal personer. Utredningen anser emel- lertid att det – genom den befintliga hänvisningen till verksamhet av rent privat natur – redan tillräckligt tydligt framgår av lagtex- ten att sådant offentliggörande inte omfattas av undantaget (se också avsnitt 8.6). 14.2.4Överföring av personuppgifter till tredje land har slagit fast följande: Det föreligger inte någon överföring av uppgifter till tredje land i den mening som avses i artikel 25 i [EG-direktivet] när en person som befinner sig i en medlemsstat lägger ut personuppgifter på en hemsida på Internet som är lagrad hos en fysisk eller juridisk person som har den webb- plats där sidan kan konsulteras och som är etablerad i samma med- lemsstat eller i en annan medlemsstat, varvid uppgifterna blir åt- komliga för alla som kopplar upp sig på Internet, inklusive perso- ner i tredje land.184 I domstolens motivering anges följande: 56 Varken i artikel 25 i direktiv /46 eller i någon annan bestämmelse i direktivet i fråga, särskilt inte i artikel 2 i detta, definieras begreppet överföring till tredje land. 57 För att avgöra huruvida det utgör en överföring av personupp- gifter till tredje land i den mening som avses i artikel 25 i direktiv /46 att lägga ut personuppgifter på en hemsida på Internet redan av den an- ledningen att detta gör uppgifterna åtkomliga för personer som befin- ner sig i tredje land är det nödvändigt att beakta dels de sålunda genom- förda transaktionernas tekniska natur, dels systematiken i kapitel IV i det nämnda direktivet, där artikel 25 i detta återfinns. 58 De uppgifter som finns på Internet kan nästan när som helst kon- sulteras av ett obegränsat antal personer vilka befinner sig på en mängd olika ställen. Att dessa uppgifter är av allestädes närvarande karaktär framgår bland annat av det förhållandet att de tekniska medel som an- vänds inom ramen för Internet är relativt enkla och blir billigare och billigare. 184På engelska lyder domslutet enligt följande: There is no transfer [of data] to a third country within the meaning of Article 25 of Directive 95/46 where an individual in a loads personal data onto an internet page which is stored on an internet site on which the page can be consulted and which is hosted by a natural or legal person who is established in that State or in another , thereby making those data accessible to anyone who connects to the internet, including people in a third country. Särskilt om dom i konfirmandlärarmålet 59 Förutsättningarna för att använda Internet, så som de har blivit för enskilda som [konfirmandläraren] , innebär att den som upprättar en hemsida som skall läggas ut på Internet överför de uppgifter som denna sida består i till den som tillhandahåller honom servertjänster. Denne sköter den datorinfrastruktur som krävs för att säkerställa att dessa uppgifter lagras och att för att den server på vilken webbplatsen är utlagd ansluts till Internet. Detta möjliggör att dessa uppgifter senare kan sändas till alla som har kopplat upp sig på Internet och bett att få del av dem. De datorer som utgör denna datorinfrastruk- tur kan ligga i ett eller flera andra länder än det där den som tillhanda- håller servertjänster befinner sig, och gör det till och med ofta, utan att de som erhåller servertjänster känner till detta eller rimligen kan känna till det. 60 Av handlingarna i målet framgår att en Internetanvändare inte bara måste koppla upp sig på de hemsidor på Internet där [konfirmand- läraren] hade lagt ut uppgifter om sina kollegor för att få del av dessa uppgifter. För att kunna få del av dem måste han även personligen vidta de åtgärder som krävs för att kunna läsa dessa hemsidor. Med andra ord innehöll [konfirmandlärarens] hemsidor på Internet inte de tekniska mekanismer som skulle ha gjort det möjligt att automatiskt skicka des- sa uppgifter till personer som inte avsiktligen hade försökt få tillgång till dessa sidor. 61 Härav följer att personuppgifter som under sådana omständighe- ter som de i förevarande mål kommer till en dator som tillhör en per- son som befinner sig i ett tredje land från en person som har laddat ned dem från en hemsida på Internet inte har överförts direkt mellan två personer, utan genom den persons datorinfrastruktur som tillhandahål- ler den server där sidan är lagrad. 62 I detta sammanhang är det nödvändigt att pröva huruvida gemen- skapslagstiftaren hade avsikten att för tillämpningen av kapitel IV i di- rektiv 95/46 låta begreppet [ö]verföring av uppgifter till tredje land, i den mening som avses i artikel 25, omfatta sådana transaktioner som de som [konfirmandläraren] har genomfört. Det bör understrykas att den hänskjutande domstolens femte fråga endast avser dessa trans- aktioner, och inte de transaktioner som genomförts av dem som till- handahåller servertjänsten. 63 Genom kapitel IV i direktiv /46, vari artikel 25 ingår, införs en speciell ordning, som innehåller speciella bestämmelser vilka syftar till att säkerställa att medlemsstaterna har kontroll över överföringen av personuppgifter till tredje land. Genom detta kapitel införs ett system som kompletterar det allmänna system som införts genom kapitel II i det nämnda direktivet, vilket kapitel avser frågan när personuppgifter får behandlas. Särskilt om dom i konfirmandlärarmålet 64 Syftet med kapitel IV definieras i femtiosjätte till sextionde skälet i direktiv /46, vari bland annat anges att det skydd som genom detta direktiv tillförsäkras personer inom gemenskapen visserligen inte hind- rar att personuppgifter överförs till sådana tredje länder som garanterar en adekvat skyddsnivå, men att frågan om skyddsnivåns adekvans skall bedömas med hänsyn till alla de omständigheter som har samband med en överföring eller en grupp av överföringar. Om ett tredje land inte garanterar en adekvat skyddsnivå skall överföring av personuppgifter till det landet förbjudas. 65 I artikel 25 i direktiv /46 uppställs en rad skyldigheter för med- lemsstaterna och kommissionen vilka syftar till att kontrollera överfö- ringen av personuppgifter till tredje länder med beaktande av den skyddsnivå som sådana uppgifter ges i vart och ett av dessa länder. 66 I artikel 25.4 i direktiv /46 föreskrivs närmare bestämt att med- lemsstaterna, när kommissionen finner att ett tredje land inte erbjuder en adekvat skyddsnivå, skall vidta de åtgärder som är nödvändiga för att hindra överföring av personuppgifter till ifrågavarande tredje land. 67 Kapitel IV i direktiv /46 innehåller inga bestämmelser om In- ternetanvändning. I detta kapitel anges inte vilka kriterierna är för att avgöra huruvida man vid bedömningen av de transaktioner som har ge- nomförts av den mellanhand som har tillhandahållit servertjänster skall lägga till grund den ort där tjänsteleverantören är etablerad, den ort där hans företag har sitt säte eller den ort där de datorer befinner sig vilka utgör tjänsteleverantörens datorinfrastruktur. 68 Med hänsyn dels till det stadium på vilket Internets utveckling befann sig då direktiv /46 utarbetades, dels till att det inte i kapitel IV i direktivet föreligger några kriterier som är till- lämpliga på Internetanvändning kan det inte presumeras att gemen- skapslagstiftaren hade för avsikt att med tanke låta in- skrivning av en person i [konfirmandlärarens] situation av uppgifter på en hemsida på Internet omfattas av begreppet överföring av uppgifter till tredje land, även om dessa på detta sätt blir åtkomliga för sådana personer i tredje land som har de tekniska möjligheterna att få tillgång till hemsidan. 69 Om artikel 25 i direktiv /46 tolkas på så sätt att det föreligger en överföring av uppgifter till tredje land varje gång personuppgif- ter läggs ut på en hemsida på Internet skulle denna överföring med nödvändighet vara en överföring till tredje länder där det finns teknisk möjlighet att få tillgång till Internet. Specialbestämmelserna i kapitel IV i det nämnda direktivet skulle då med nödvändighet, vad gäller transak- tioner på Internet, bli ett generellt tillämpligt system. När kommissio- nen med tillämpning av artikel 25.4 i direktiv /46 konstaterade att det fanns ett enda tredje land som inte säkerställer en adekvat skyddsnivå Särskilt om dom i konfirmandlärarmålet skulle medlemsstaterna nämligen vara skyldiga att hindra att person- uppgifter över huvud taget lades ut på Internet. 70 Vid sådant förhållande kan den slutsatsen dras att artikel 25 i di- rektiv 95/46 skall tolkas så, att sådana transaktioner som dem som [konfirmandläraren] har genomfört inte i sig utgör en överföring av uppgifter till tredje land. Det är således inte nödvändigt att utreda hu- ruvida en person från ett tredje land har haft tillgång till den berörda hemsidan på Internet eller huruvida denne tjänsteleverantörs server rent fysiskt befinner sig i ett tredje land. 71 Den femte frågan skall således besvaras så, att det inte föreligger någon överföring av uppgifter till tredje land i den mening som av- ses i artikel 25 i direktiv /46 när en person som befinner sig i en med- lemsstat lägger ut personuppgifter på en hemsida som är lagrad hos den som tillhandahåller honom servertjänster, vilken är etablerad i samma medlemsstat eller i en annan medlemsstat, varvid uppgifterna blir åt- komliga för alla som kopplar upp sig på Internet, inklusive personer i tredje land. Det är svårt att av svar dra några generella slutsat- ser som lämpar sig att transformera till svensk lagtext. Svaret måste för det första ses mot bakgrund av frågorna och omständigheterna i målet, sådana uppfattade dem. För det andra under- stryker själv att frågan i målet är begränsad och inte berör den som tillhandahåller en servertjänst (punkt 62). I svaret talas det om en person – på engelska an individual, en individ – som lägger ut personuppgifter på en hemsida på Inter- net som är lagrad hos en fysisk eller juridisk person (a natural or legal person på engelska). Man kan fråga sig om ordvalet är avsett att markera en begränsning av svarets räckvidd. Domstolen har i sitt svar formellt inte uttalat sig om den situationen att en person- uppgiftsansvarig (registeransvarig enligt terminologin i EG- direktivet), eller ens en juridisk person eller ett företag, lägger ut eller låter lägga ut personuppgifter på Internet. Också det förhål- landet att i svaret talar om att personen befinner sig i en medlemsstat, i stället för att använda det vedertagna ut- trycket etablerad, kan tala för att svaret är avsett att ha en be- gränsad räckvidd.