sou · GSB36 · 2005-01-01 00:00:00 — En särskild fråga i ärendet var att frågor om läkemedel ibland kunde sammankopplas med den uppringande personens hälsotillstånd och därför eventu- ellt utgöra en känslig personuppgift enligt 13 § personuppgiftsla- gen. Inspektionen konstaterade att den som är yrkesmässigt verk- sam inom hälso- och sjukvård och har tystnadsplikt får behandla känsliga personuppgifter som omfattas av tystnadsplikten med stöd av 18 § andra stycket personuppgiftslagen. legitimerade personal och övriga personal har tystnadsplikt enligt lagen (1998:531) om yrkesverksamhet på hälso- och sjukvårdens område. Det fanns därför enligt inspektionen laglig grund för att i detta sammanhang även behandla känsliga personuppgifter. Inspektionen fann slutligen att en förutsättning för att behandlingen av person- uppgifter skall vara laglig är att informerar den uppring- ande personen om inspelningen. När det gällde inspelning av de anställda fanns redan rutiner för information och samtycke i sam- band med anställningen. I ett tillsynsärende (beslut i ärende med dnr 330-2002) granskade inspektionen en bostadsrättsförening med anledning av att föreningen infört datorstyrda lås- och passagesy- stem med elektronisk registrering (logg) till föreningens allmänna utrymmen. För att kunna öppna dörrar till exempelvis entréer, käl- lare och garage krävdes ett särskilt magnetkort. Varje magnetkort hade ett särskilt nummer som kunde knytas till lägenhetsinnehava- ren. Enligt Datainspektionen fanns en möjlighet att knyta registre- ringarna i systemet till en enskild fysisk person. Mot denna bak- grund fann inspektionen anledning att bedöma passagesystemet utifrån personuppgiftslagens bestämmelser. Inspektionen konstate- rade inledningsvis att behandlingen av personuppgifter inte kunde bygga på samtycke, eftersom det inte fanns några alternativ till magnetnyckel med registrering. Datainspektionen fann inte skäl att ifrågasätta att föreningen hade ett berättigat intresse av att behand- Utvecklingen i rättstillämpningen och av annan vägledning la personuppgifter i ett låssystem som bygger på magnetnycklar. Loggning av magnetnycklar fick dock enligt inspektionens upp- fattning endast ske om det var nödvändigt för att få passagesyste- met att fungera tillfredsställande. Det kunde enligt Datainspektio- nens inte godtas att systemet användes för andra ändamål. Ett tillsynsärende hos Datainspektionen (beslut i ärende med dnr 1682-2002) föranleddes av uppgifter om att ett s.k. krockminne i vissa bilar vid en kollision lagrade fordonsrelaterad data. I krockminnet lagrades bl.a. uppgifter om bilens hastighet, bromsaktivering, om farthållaren var aktiverad, bältesanvändning för passagerarna i framsätena, om huvudljus var påslaget, aktuell växel, status på samtliga dörrar (låsta/olåsta, öppna/stängda) och tidpunkt. Bilföretaget avsåg att använda uppgifterna för att förbätt- ra framtidens bilar när det gäller krock- och körsäkerhet. Datain- spektionen bedömde att flera av de uppgifter som registrerades i samband med en olycka utgjorde personuppgifter enligt person- uppgiftslagen. Enligt Datainspektionens mening blev bilföretaget personuppgiftsansvarig för uppgifterna först när företaget hämtat in uppgifterna efter det att en olycka hade inträffat. För att den personuppgiftsbehandling som företaget utförde genom att hämta in uppgifter från kolliderade bilar skulle anses tillåten enligt 10 § personuppgiftslagen, krävdes enligt Datainspektionens mening att inhämtandet föregicks av ett samtycke från bilens ägare och de per- soner vars personuppgifter registrerades. 5.3.6Känsliga personuppgifter (13–19 §§) I ett uppmärksammat tillsynsärende (dnr 1404-2001) mot (KB) hade Datainspektionen anledning att ta ställning till om en insamling av samtliga svenska webbsidor från Internet för att bevara det elektroniska kulturarvet för framtiden (det s.k. kulturarvsprojektet) var förenlig med bestämmelserna i person- uppgiftslagen. Datainspektionen ansåg att personuppgiftsbehand- lingen i projektet var nödvändig för att utföra en arbetsuppgift av allmänt intresse enligt 10 § d personuppgiftslagen. Däremot fann Datainspektionen att insamlingen av webbsidorna också innebar en behandling av känsliga personuppgifter utan samtycke från de regi- strerade som inte var tillåten. Datainspektionen konstaterade att en insamling av material för att bevara det digitala kulturarvet inte i sig kunde anses utgöra ett forskningsprojekt, eftersom insamlingen skedde för att bevara material som kunde utgöra underlag för fram- Utvecklingen i rättstillämpningen och av annan vägledning Det dåvarande undantaget för forsknings- och stati- stikändamål i 19 § personuppgiftslagen från förbudet att behandla känsliga personuppgifter var därför enligt Datainspektionen inte tillämpligt. Eftersom inte heller något av de övriga undantagen från förbudet var tillämpligt, bedömde Datainspektionen att person- uppgiftsbehandlingen i KB:s kulturarvsprojekt inte var förenlig med personuppgiftslagen. Datainspektionen ansåg emellertid att det fanns skäl att särreglera den behandling av personuppgifter som KB:s projekt innebar och uppmärksammade därför regeringen på sitt beslut. Regeringen har därefter utfärdat förordningen (2002:287) om behandling av personuppgifter i Kungl. digitala kulturarvsprojekt som ger författningsstöd för den behand- ling av känsliga personuppgifter som utförs inom projektet. Ett annat fall (dnr 1966-2001) gällde Handikappförbundens samarbetsorgans rättsdatabas och dess förenlighet med personupp- giftslagen. I databasen fanns flera hundra sammanfattningar av rättsfall som rörde funktionshindrade. Databasen vände sig till samarbetsorganets medlemsorganisationer och externa organisa- tioner samt myndigheter. Datainspektionen konstaterade att det var fråga om behandling av känsliga personuppgifter enligt 13 § personuppgiftslagen och fann att behandlingen inte var förenlig med personuppgiftslagen. Enligt 10 § första stycket andra punkten personuppgiftsförord- ningen i lydelse före skulle behandling av per- sonuppgifter om genetiska anlag som framkommit efter genetisk undersökning anmälas till Datainspektionen för förhandskontroll. Denna typ av personuppgiftsbehandling förekom inom ramen för olika forskningsprojekt. I samband med sådan förhandskontroll har Datainspektionen i några fall haft att ta ställning till om den be- handling av känsliga personuppgifter som utförs inom forsknings- projekten kan äga rum utan samtycke från de registrerade. gäller i stället att känsliga personuppgifter får behandlas för forsk- ningsändamål om det finns samtycke eller behandlingen har god- känts enligt lagen (2003:460) om etikprövning av forskning som avser människor. Ett par fall har gällt förhandskontroll vid forskning på genetiska uppgifter. Det ena fallet (dnr 380-2001) gällde en genetisk forsk- ningsstudie med syfte att bl.a. undersöka vissa genetiska faktorers betydelse för uppkomsten av prostatacancer. De blodprover som skulle användas för genetiska analyser i forskningsstudien hade lämnats i tidigare forskningsprojekt där personerna i fråga hade informerats om den framtida hanteringen av blodproverna och Utvecklingen i rättstillämpningen och av annan vägledning godkänt att ett spar- eller forskningsprov togs. Vissa personer hade sedermera utvecklat prostatacancer. Datainspektionen tillämpade avvägningsnormen i dåvarande 19 § första stycket personuppgifts- lagen. Enligt denna bestämmelse fick känsliga personuppgifter be- handlas utan uttryckligt samtycke för forsknings- och statistikän- damål om behandlingen är nödvändig på sätt som sägs i 10 § per- sonuppgiftslagen och om samhällsintresset av det forsknings- eller statistikprojekt där behandlingen ingår klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behand- lingen kan innebära. Datainspektionen bedömde att samhällsintres- set av den aktuella cancerforskningen vägde över risken för integri- tetsintrång förutsatt att information om personuppgiftsbehand- lingen lämnades på lämpligt sätt, t.ex. via anslag eller annonser. Vid intresseavvägningen beaktade Datainspektionen också att de per- soner som genomgått en behandling som botat deras cancersjuk- dom kunde uppleva det som psykologiskt arbetsamt med en förny- ad kontakt. Det andra fallet (dnr 1386-2002) gällde en forsknings- studie där bl.a. vissa genetiska faktorers betydelse för risken att drabbas av hjärtinfarkt skulle undersökas. Även i detta fall bedöm- de Datainspektionen med tillämpning av dåvarande 19 § första stycket personuppgiftslagen att personuppgiftsbehandlingen var förenlig med personuppgiftslagen under förutsättning att deltagar- na i forskningsprojektet på lämpligt sätt, i första hand genom di- rektutskick, informerades om behandlingen i enlighet med be- stämmelserna i 25 § personuppgiftslagen. När det gäller humanistisk-samhällsvetenskaplig registerforsk- ning har Datainspektionen vid förhandskontroll i några fall tagit ställning till om känsliga personuppgifter kan behandlas utan sam- tycke och utan att de registrerade informeras om behandlingen. Ett ärende (dnr 1231-2003) gällde ett forskningsprojekt vid universitet, , om diskriminering inom rättssystemet. Många uppgifter om brott och känsliga per- sonuppgifter från polisen, och () skulle hanteras i forskningen. Datainspektio- nen bedömde att personuppgifterna kunde behandlas trots att de registrerade skulle varken samtycka till eller få information om forskningen. I bedömningen vägdes särskilt in att Humanistisk- samhällsvetenskapliga (, numera Veten- skapsrådet) hade granskat forskningsprojektet etiskt och godtagit förfarandet. Datainspektionen vägde också in att uppgifterna från SCB skulle lämnas ut avidentifierade utan kodnyckel sedan fors- karnas material samkörts med SCB:s register och att särskilda IT- Utvecklingen i rättstillämpningen och av annan vägledning säkerhetsåtgärder vidtagits för att skydda uppgifterna innan de av- identifierades. Ett annat forskningsprojekt där Datainspektionen godtagit att registerforskning ägde rum utan vare sig samtycke från eller information direkt till de registrerade rörde en epidemiologisk och hälsoekonomisk uppföljning av personer med schizofreni (dnr 366-2003). Eftersom information riktad direkt till de registrerade, som flera led av paranoid schizofreni, kunde leda till onödig oro, rädsla och misstänksamhet hos dessa ansåg Datainspektionen att informationen kunde lämnas på annat lämpligare sätt, t.ex. via an- slag. 5.3.7Personnummer (22 §) Datainspektionen har i ett yttrande enligt nuvarande 15 § person- uppgiftsförordningen över ett förslag till en branschöverenskom- melse inom direktmarknadsföringsområdet uttalat sig om använd- ningen av personnummer (beslut i ärende med dnr 1338-99). Datainspektionen gav därvid uttryck för sin dittillsvaran- de uppfattning att det inte finns skäl för att använda personnum- mer för direktmarknadsföringsändamål. Inspektionen förklarade dock att det inte ansetts hindra tillfällig personnummersättning av kund- eller prospectregister hos myndighet, t.ex. Statens person- nadressregisternämnd, för borttagning av egna kunder eller för uppdatering av register. Ett samrådsärende (beslut i ärende med dnr 1005-2003) rörde frågan om det var tillåtet för en kommun att samla in personnummer redan vid ansökan om bygglov i syfte att underlätta eventuell kravhantering. Inledningsvis konstaterade in- spektionen att i de fall en sökande frivilligt lämnar uppgift om sitt personnummer, t.ex. i en blankett efter att ha fått information om behandlingen, kan handlandet ses som konkludent och godtas som samtycke till att uppgiften registreras. Om det inte fanns något samtycke, var det enligt inspektionens uppfattning endast befogat att behandla personnummer vid kravhantering, exempelvis vid in- kassokrav och vid ansökan om betalningsföreläggande. 5.3.8Information till den registrerade (25 §) I flera ärenden har Datainspektionen haft uppe frågan om innebör- den av bestämmelsen i 25 § andra stycket personuppgiftslagen om Utvecklingen i rättstillämpningen och av annan vägledning att information inte behöver lämnas om sådant som den registrera- de redan känner till. I ett ärende (dnr 1596-2001) var frågan om var skyl- digt att lämna information till de registrerade i samband med be- handling av tulldeklarationer. Datainspektionen konstaterade att i stort sett samtliga myndigheter använder sig av någon form av datoriserat stöd för handläggningen av ärenden m.m. På grund här- av kunde det enligt inspektionens mening i många fall förutsättas att den som vänder sig till en myndighet redan känner till eller för- står att uppgifterna registreras i någon form av automatiserat regis- ter. Enligt Datainspektionens uppfattning behövde inte lämna information om behandlingen av personuppgifter i samband med tulldeklarationer, eftersom det kunde anses att den som läm- nar en tulldeklaration känner till vem som är personuppgiftsansva- rig och för vilka ändamål tulldeklarationen kommer att behandlas. I ett annat ärende (dnr 1869-2001) var frågan om vilken informa- tion var skyldigt att ge dem som sökte medlemskap. Inspektionen uttalade att om den registrerade själv har lämnat in personuppgifter till den personuppgiftsansvarige, be- höver den personuppgiftsansvarige inte lämna information så länge uppgifterna bara används för de ändamål som den registrerade kan förutse. I en sådan situation får den registrerade anses känna till den personuppgiftsansvariges identitet och ändamålen med behandlingen. Datainspektionen fann att för det fall nya medlemmar kan förutse bl.a. för vilka ändamål personuppgifterna skulle behandlas behövde någon information inte lämnas. I ett tillsynsärende mot (dnr 1890-2001) har Da- tainspektionen närmare preciserat kravet i 25 § personuppgiftslagen på vilken information som skall lämnas till registrerade då insam- ling av personuppgifter skett från annan källa än den registrerade själv. Ärendet gällde frågan om man i ett direktreklamutskick ut- tryckligen måste informera om rätten att ansöka om information och få rättelse. Enligt den branschöverenskommelse som finns be- träffande direktreklam skall det finnas en upplysning om varifrån de använda adressuppgifterna har inhämtats, s.k. adresskälleangivel- se. Källangivelsen skall enligt branschöverenskommelsen vara ut- formad så att den som får reklamen skall kunna ta kontakt med käl- lan för att där ta tillvara sina rättigheter enligt personuppgiftslagen. Den skall därför innehålla telefonnummer och/eller adress till käl- lan. I det aktuella fallet fanns det i bolagets direktreklamutskick information om namn och postnummer till adresskällan, telefon- nummer och adress till bolaget och dess kundservice samt en hän- Utvecklingen i rättstillämpningen och av annan vägledning visning till bolagets webbsida. Uttrycklig information om rätten att ansöka om information och få rättelse fanns dock inte angiven. Da- tainspektionen bedömde dock att risken för integritetsintrång ge- nerellt sett är liten vid personuppgiftsbehandling i direktreklam- sammanhang och att information om rätten att ansöka om infor- mation och att få rättelse normalt sett är uppfylld genom en adress- källeangivelse och angivande av adress och telefonnummer till di- rektreklambolagets kundservice. Datainspektionens bedömning kan sägas utgöra en precisering av kravet i den branschöverens- kommelse Datainspektionen tidigare yttrat sig över utan invänd- ningar i det nu aktuella avseendet. 5.3.9Registerutdrag (26 §) I ett tillsynsärende mot (dnr 687-2002) kom frågan upp om innehållet i s.k. registerutdrag enligt 26 § personuppgiftslagen. Banken tog i utdragen inte med uppgif- ter om transaktioner och saldon. Datainspektionen konstaterade att den enskilde har rätt att få besked om även sådana uppgifter. Inspektionen förutsatte emellertid att banken lämnade sådan in- formation både kontinuerligt och på uttrycklig begäran om just sådana uppgifter. Inspektionen ansåg att kraven enligt 26 § därige- nom fick anses tillgodosedda, om det i registrutdraget upplystes om möjligheten att även få uppgifter om transaktioner och saldon. 5.3.10Publicering på Internet (33 §) Datainspektionen har i flera ärenden tagit ställning till publicering av personuppgifter på Internet. Ett ärende (dnr 1369-2000) gällde publicering av en skolkatalog på Internet. En elev i en gymnasieskola hade som specialarbete gjort en hemsida om sin skola. Hemsidan innehöll bl.a. en inskan- nad version av gymnasiets skolkatalog med gruppbilder och namn på elever i samtliga klasser. Skolkatalogen hade publicerats på In- ternet utan elevernas samtycke. En elev vid skolan hade beviljats skydd för sina personuppgifter och invände mot publiceringen. Da- tainspektionen konstaterade att publiceringen inte under några om- ständigheter kunde anses som harmlös och att den stred mot för- budet mot överföring av personuppgifter till tredje land i 33 § per- sonuppgiftslagen. Utvecklingen i rättstillämpningen och av annan vägledning Ett annat ärende (dnr 741-2000) gällde en webbplats som inne- höll bl.a. namn och bild på barn som hade tvångsomhändertagits med stöd av lagen (1990:52) med särskilda bestämmelser om vård av unga. Uppgifterna på webbplatsen hade publicerats av () under en s.k. SÖK-tjänst. NKMR anförde att uppgifterna publicerades med sam- tycke och med ändamålet att barnens biologiska föräldrar skulle kunna få information om var barnen befann sig och om hur barnet hade det i fosterhemmet. Datainspektionen inledde tillsyn mot NKMR och konstaterade följande i sitt beslut. Det är enligt 21 § personuppgiftslagen förbjudet för andra än myndigheter att be- handla personuppgifter om bl.a. administrativa frihetsberövanden oavsett samtycke från de registrerade. Det framgår av lagens förar- beten att med administrativa frihetsberövanden avses bl.a. att nå- gon har varit föremål för tvångsingripande enligt lagen med särskil- da bestämmelser om vård av unga. NKMR:s SÖK-tjänst behandla- de därför personuppgifter i strid med 21 § personuppgiftslagen. Eftersom uppgifterna dessutom gjordes tillgängliga via Internet, stred behandlingen även mot förbudet i 33 § personuppgiftslagen att överföra personuppgifter till tredje land. Datainspektionen be- slutade också med hänsyn till förfarandets allvarliga karaktär att överlämna ärendet till polisen. Justitiekanslern prövar bl.a. frågor om skadestånd skall betalas av staten, bl.a. skadestånd enligt personuppgiftslagen, och i dessa ärenden kan tolkningen av personuppgiftslagen komma upp.27 Ju- stitiekanslern har också vissa uppgifter i fråga om tryck- och ytt- randefriheten. Fall som i första hand gäller om ett visst förfarande med personuppgifter är skyddat av tryckfrihetsförordningen eller yttrandefrihetsgrundlagen kan ha avgörande betydelse för om per- sonuppgiftslagen är tillämplig. Eftersom sådana fall inte direkt gäll- er tillämpningen av personuppgiftslagen utan tillämpningen av grundlagarna, redovisas fallen inte här. I ett fall hade en person begärt skadestånd med anledning av att sänt ett meddelande med sekretessbe- 27Ibland gäller saken behandling av personuppgifter som regleras av en särskild registerför- fattning som hänvisar till skadeståndsbestämmelsen i personuppgiftslagen. Utvecklingen i rättstillämpningen och av annan vägledning lagda uppgifter om hur hans premiepension placerats till honom i ett kuvert som inte varit förslutet. Justitiekanslern fann – beslut , dnr – att det inte kunde uteslutas att det sätt på vilket meddelandet sänts inneburit att personuppgiftslagens regler åsidosatts, men att den kränkning som ett sådant åsidosät- tande kan ha medfört måste anses så begränsad att det inte fanns någon rätt till kränkningsersättning enligt 48 § personuppgiftsla- gen. Justitiekanslern beaktade att det inte varit fråga om person- uppgifter av särskilt känslig art och att det bara funnits en begrän- sad risk för spridning av uppgifterna. I beslut , dnr , har Justitiekanslern tiller- känt en person som felaktigt varit registrerad som avliden i folkbokföringsregistret ersättning med för kränkningen och för kostnader enligt en bestämmelse i lagstiftningen om det registret som hänvisar till skadeståndsbe- stämmelsen i personuppgiftslagen. I beslut , dnr , har Justitiekanslern tiller- känt en person begärd ersättning med för det att det un- der felaktigt varit antecknat i belastningsregistret att han haft besöksförbud. I beslut , dnr 660-02-40, har Justitiekanslern tiller- känt en person ersättning för lidande med för det att han varit oriktigt registrerad i misstankeregist- ret som skäligen misstänkt för ringa narkotikabrott och brott mot knivlagen, vilket ledde till att han fick vänta på körkortstillstånd. I beslut , dnr 73-02-42, har Justitiekanslern tillerkänt en student ersättning med för kränkning för det att ett universitet på ett intranät hade publicerat en lista med tentamensresultat med hans personnummer. I beslut , dnr , har Justitiekanslern avslagit samme students anspråk på skadestånd för det att re- gistrerat hans telefonnummer i studiedokumentationssystemet Ladok. Justitiekanslern ansåg att det är ett berättigat intresse enligt personuppgiftslagen för universitet och högskolor att registrera adresser och telefonnummer som behövs för att komma i kontakt med de studenter som är inskrivna vid och att univer- sitetets behov av att registrera telefonnumret väger tyngre än stu- dentens intresse av att telefonnumret inte registreras; när studenten begärde det, togs telefonnumret bort. I beslut , dnr , har Justitiekanslern tiller- känt en person med skyddad adress ersättning med för kränkning och med för skada i form av flyttkostnader Utvecklingen i rättstillämpningen och av annan vägledning och fördyrade levnadsomkostnader för att en uppgift om perso- nens skyddade adress oriktigt tagits bort ur re- gister. I beslut , dnr , har Justitiekanslern tiller- känt två personer ersättning för olika straff- och påminnelse- avgifter som de åsamkats till följd av att räkningar inte tillställdes dem, eftersom deras folkbokföringsadress varit oriktigt återgiven i folkbokföringsregistret. I beslut , dnr och , har Justi- tiekanslern tillerkänt två personer, vars pensioner betalats ut på ett felaktigt sätt eftersom uppgifter registrerats felaktigt hos försäk- ringskassan, ersättning med vardera för den oro som den uteblivna pensionsutbetalningen medfört och de kostnader som uppkommit för att efterforska pensionen. I ett annat fall har en person fått ersättning med (beslut , dnr ). Och i ett motsvarande fall avseende felaktig utbetal- ning av sjukpenning har en person fått ersättning med (be- slut , dnr ). I beslut , dnr , har Justitiekanslern tiller- känt en person ersättning för kursförlust med , eftersom ett felaktigt kontonummer registrerats hos , vilket lett till att föräldrapenning satts in på ett fondkonto. I beslut , dnr 596-03-42, har Justitiekanslern tiller- känt en person ersättning för kränkning med för att en skuld varit felaktigt registrerad i utsökningsregister under . En annan person har i ett fall där den felaktiga registreringen i utsökningsregistret varat i ungefär fått ersätt- ning med för lidande (beslut , dnr ). I beslut , dnr 580-03-42, har Justitiekanslern avslagit ett skadeståndsanspråk för felaktig registrering av folkbokförings- adress, eftersom det inte visats att den felaktiga registreringen or- sakat den skada i form av kostnader till följd av att telefonräkning sänts till fel adress som ersättning krävdes för. I beslut , dnr , har Justitiekanslern avslagit ett skadeståndsanspråk avseende ersättning för s.k. kvarstående skatt. personregister hade innehållit en felaktig uppgift om en persons underlag för preliminär skatt vilket lett till att personen påfördes kvarstående skatt.