sou · GSB36 · 2005-01-01 00:00:00 — Vidare finner länsrätten, vid en jämförelse med 24 § personuppgiftsla- gen, inte att det skulle strida mot denna bestämmelse att lämna infor- mation om behandlingen först i samband med utskicket och enbart till dem som erhåller detta. Datainspektionen överklagade domen till Kammarrätten i , som meddelade prövningstillstånd, men sedan skrev av målet eftersom bestämmelsen i socialförsäkringsregisterlagen ändrats (beslut i mål nr 4405-01). (dom i mål nr B 291-02) har ansett att en uppgift om en anställds sjukskrivning utgjort en käns- lig personuppgift enligt 13 § personuppgiftslagen, se om fallet i av- snitt 5.2.1. Ett fall om tillämpningen av lagen (2001:184) om behandling av uppgifter i kronofogdemyndigheternas verksamhet har gällt frågan om vad som är en sådan behandling av personuppgifter som omfattas av den lagen och av personuppgiftslagen. I fallet hade personuppgifter gallrats från den automatiserade utsöknings- och indrivningsdatabasen och i stället lagts på mikrokort som fanns i pärmar. Personuppgiftslagen och den aktuella lagen gäller bara för behandling av personuppgifter som helt eller delvis är au- tomatiserad och för annan behandling av personuppgifter, om upp- gifterna ingår i eller är avsedda att ingå i en strukturerad samling av Utvecklingen i rättstillämpningen och av annan vägledning personuppgifter som är tillgängliga för sökning eller sammanställ- ning enligt särskilda kriterier. Frågan var om personuppgifterna på mikrokorten behandlades på ett sådant sätt att bestämmelserna om rättelse av personuppgifter var tillämpliga. Länsrätten i (dom i mål nr 4349-02 E) uttalade följande: Utifrån vad som framkommit i målet beträffande uppgifterna som lagts över på mikrokort, finner länsrätten det utrett att kronofogde- myndighetens samling av mikrokort utgör en strukturerad samling av personuppgifter. Vad gäller möjligheterna till sökning och samman- ställning av uppgifterna är läget mer oklart. har i det här avseendet anfört att det bara finns en sökväg till uppgifter- na som lagts över på mikrokort och att uppgifterna således inte är till- gängliga för sökning eller sammanställning enligt flera kriterier. Enligt länsrättens mening bör inte det faktum att det i lagtexten talas om kriterier i pluralis leda till att antalet sökvägar (en eller flera) tillåts avgöra om en samling personuppgifter skall anses utgöra ett manuellt register. Formuleringen tillgängliga för sökning eller sammanställning enligt särskilda kriterier är till sin karaktär öppen och synes omfatta både sökning enligt ett och flera kriterier. Något särskilt stöd för att valet av att uttrycka särskilda kriterier i pluralis verkligen skulle inne- bära att minst två sökvägar måste finnas till ett manuellt register för att det skall omfattas av aktuell lagstiftning har inte framkommit i målet eller i lagstiftningsärendet. Enligt länsrättens mening bör det öppna skrivsättet i stället tolkas så att valet av kriterier som kan förekomma har inte gjorts på förhand utan det är ett flertal olika kriterier som kan komma i fråga. En sökväg – ett kriterium – är alltså tillräcklig(t) för att registret skall omfattas av [den aktuella lagen] och personuppgiftsla- gen. Mot bakgrund av EG-direktivet får det väsentliga anses vara huru- vida en samling av uppgifter är väl strukturerad och lätt tillgänglig för sökning. I sådana fall får enskilda anses ha ett sådant berättigat skydds- intresse att samlingen av uppgifter bör omfattas av lagstiftningen. Kro- nofogdemyndighetens pärmar med mikrokort är organiserade utifrån tidpunkten för gallringen från utsöknings- och indrivningsdatabasen. I själva pärmarna är sedan uppgifterna organiserade utifrån personnum- mer. Till pärmarna hör ett kortregister, uppdelat utifrån gallringsår, i vilket det är möjligt att söka på både namn och personnummer. Vid sökning i utsöknings- och indrivningsdatabasen på en person som har aktuella ärenden/skulder hos kronofogdemyndigheten lämnas dessut- om i förekommande fall uppgift om att det finns äldre uppgifter på mikrokort beträffande personen samt sådan information att det lätt går att finna uppgifterna i pärmarna med mikrokort. Länsrätten gör sam- mantaget bedömningen att kronofogdemyndighetens hantering av Utvecklingen i rättstillämpningen och av annan vägledning mikrokort utgör en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Samtycke i avtalsvillkor i konsumentförhållanden har med stöd av lagen (1994:1512) om avtals- villkor i konsumentförhållanden förbjudit ett företag att för tele- fonabonnemang till konsument tillämpa avtalsvillkor om att kun- den medger att personuppgifter får användas för nummerupplys- ningsändamål och för utformningen av företagets information och erbjudanden till kunden i samband med abonnemanget (MD 2002:23). Av villkoret framgick nämligen inte att den registrerade enligt 11 § personuppgiftslagen har möjlighet att skriftligen anmäla att han eller hon motsätter sig att personuppgifter behandlas för ändamål som rör direkt marknadsföring, varför konsumenten kun- de få uppfattningen att han eller hon var bunden av medgivandet. Villkoret ansågs därför oklart, och det ansågs kunna vilseleda de kunder med vilka avtal ingås om deras rättsliga möjligheter att hindra att personuppgifter behandlas för ändamål som rör direkt marknadsföring. Överklagande av myndighetsbeslut om rättelse I fallet begärde en person – B – hos kronofogdemyndigheten att en uppgift om honom i utsökningsregistret skulle rättas. Kronofog- demyndigheten avslog ansökningen om rättelse, eftersom uppgif- ten var riktig. B överklagade kronofogdemyndighetens beslut, men länsrätten anslöt sig till kronofogdemyndighetens bedömning och ändrade inte det överklagade beslutet. B överklagade till kammar- rätten, som undanröjde länsrättens dom och avvisade B:s överkla- gande, eftersom frågor om rättelse av registeruppgifter regleras i 28 § personuppgiftslagen och då oenighet mellan den personupp- giftsansvarige och den registrerade kan anmälas till Datainspektio- nen. överklagade till Regeringsrätten och yrkade att länsrättens dom skulle stå fast. Regeringsrätten avvisade överklagandet (beslut i mål nr 1997-2000), eftersom kammarrättens beslut inte kunde anses ha gått kronofogdemyndig- heten emot.25 25 Jämför Kammarrättens i dom i mål nr 4977-2000. Utvecklingen i rättstillämpningen och av annan vägledning Överklagande av Datainspektionens beslut I en skrivelse till en personuppgiftsansvarig (NKMR) hade Datain- spektionen konstaterat att NKMR behandlade personuppgifter i strid med personuppgiftslagen och uppmanat NKMR att upphöra med behandlingen. Det beslutet fick enligt Kammarrättens i beslut i mål nr 1173-2001 överklagas då det bl.a. fick ses som ett påbud som sakligt sett låg nära ett formligt före- läggande att efterleva lagstiftningen. En person hade anmält ett par förfaranden till Datainspektionen, men inspektionen hade beslutat i det ena fallet att inte vidta någon ytterligare åtgärd i ett öppnat tillsynsärende och i det andra fallet att inte öppna något tillsynsärende. Länsrätten i ansåg i beslut i mål nr 14081-01 E att anmälaren inte hade rätt att överklaga besluten. Kammarrätten i med- delade inte prövningstillstånd (beslut i mål nr 6675-2001). Av Kammarrättens i beslut i mål nr 5367-2000 framgår att Datainspektionens beslut enligt nuvarande 11 § personuppgiftsförordningen (1998:1191) om att inte vidta åt- gärder med anledning av en anmälan om förhandskontroll inte är överklagbart ens om Datainspektionen i beslutet gett uttryck för sin uppfattning i sakfrågan. Av Länsrättens i beslut i mål nr 11312-01 E framgår vidare att allmänheten eller en anmälare inte har rätt att överklaga ett sådant beslut.26 Eftersom Datainspektionen inte längre fattar några beslut om till- stånd enligt datalagen för att föra dataregister har den praxisbild- ning som tidigare förekom genom dessa beslut upphört. De beslut som innebär att Datainspektionen tar ställning till hur bestämmel- serna i personuppgiftslagen skall tillämpas är i stället främst beslut i tillsynsärenden, beslut om yttranden efter samråd med per- sonuppgiftsombud enligt 38 § personuppgiftslagen, beslut efter anmälan om förhandskontroll enligt 11 § personuppgiftsförord- ningen samt beslut i förfrågningsärenden. Datalagen har enligt övergångsbestämmelserna till personuppgiftslagen tillämpats i 26 Kammarrätten i har vägrat att medge prövningstillstånd, mål nr 5347-01. Utvecklingen i rättstillämpningen och av annan vägledning många fall fram till . Den praxis som gäller Da- tainspektionens tillämpning av personuppgiftslagen är mot denna bakgrund ännu inte särskilt omfattande. I detta avsnitt redogörs för ett antal avgöranden som är av principiellt intresse och kan tjäna som vägledning vid framtida tillämpning av personuppgiftslagen. genomförde Datainspektionen ett tillsyns- projekt för att närmare undersöka på vilket sätt elevers personupp- gifter behandlas i grundskoleverksamheten. Inom ramen för pro- jektet inspekterade Datainspektionen ett tiotal grundskolor och genomförde även tillsyn genom att ett 30-tal skolor fick besvara frågor i en enkät. Tillsynen visade att det förekom vissa brister i hanteringen av elevernas personuppgifter, och Datainspektionen fick därför anledning att framföra synpunkter på hanteringen i vissa avseenden. Resultatet av projektet och Datainspektionens ställ- ningstaganden i vissa frågor som rör behandling av elevers person- uppgifter i skolan redovisas i Datainspektionens rapport 2002:2, vartill hänvisas. 5.3.1Avvikande författningsbestämmelser (2 §) Av 2 § personuppgiftslagen framgår att personuppgiftslagen är sub- sidiär i förhållande till andra författningar. Om det finns bestäm- melser i en annan lag eller i en förordning som avviker från person- uppgiftslagen, skall de bestämmelserna tillämpas i stället. Datainspektionen har i ett ärende som gällde en förfrågan från (dnr 1921-2000) haft anledning att uttala sig om tillämp- ligheten av denna bestämmelse. Frågan gällde en konflikt mellan bestämmelserna i 3 kap. 13 § aktiebolagslagen om skyldighet för VPC att lämna ut uppgifter i aktieböcker och förvaltarförteckning- ar och 9 och 10 §§ personuppgiftslagen. VPC frågade om bolaget kunde låta bli att lämna ut uppgifter ur dessa register när man visste att uppgifterna skulle komma att behandlas i strid med personupp- giftslagen t.ex. genom att användas för direktreklamändamål (ett annat ändamål än det som uppgifterna samlades in för). Datain- spektionen uttalade att bestämmelserna i 3 kap. 13 § aktiebolagsla- gen är att se som en specialreglering angående utlämnande av hand- lingar som enligt 2 § personuppgiftslagen tar över bestämmelserna i personuppgiftslagen om behandling i form av utlämnande av per- sonuppgifter. Trots att VPC befarade att det kunde komma att ske en behandling av personuppgifter i strid med personuppgiftslagen i nästa led, kunde VPC enligt Datainspektionens uppfattning inte Utvecklingen i rättstillämpningen och av annan vägledning lagligen vägra att lämna ut de aktuella uppgifterna. Med hänsyn till att bestämmelserna i aktiebolagslagen kommit till innan person- uppgiftslagen trädde ikraft ansåg Datainspektionen att frågan om vilka följder bestämmelserna i 3 kap. 13 § aktiebolagslagen får för enskildas integritet borde uppmärksammas i den pågående översy- nen av aktiebolagslagen. Datainspektionen har i ett tillsynsärende mot (dnr 2025-2001) konstaterat att kameraövervakning i taxibilar ge- nom att digitala stillbilder tas av passagerarna innebär en sådan be- handling av personuppgifter som aves i personuppgiftslagen. Lagen (1998:150) om allmän kameraövervakning innehåller vissa bestäm- melser som avviker från personuppgiftslagen och därför gäller före personuppgiftslagen. Enligt 6 § lagen om kameraövervakning skall meddela tillstånd till allmän kameraövervakning om intresset av sådan övervakning väger tyngre än den enskildes intres- se av att inte bli övervakad. Denna bestämmelse har enligt Datain- spektionen företräde i förhållande till bestämmelserna i personupp- giftslagen om när behandling av personuppgifter är tillåten. Även bestämmelsen i 14 § lagen om allmän kameraövervakning, som gäll- er bevarande av bild- eller ljudmaterial från allmän kameraövervak- ning, har enligt Datainspektionens beslut företräde framför be- stämmelsen om bevarande av personuppgifter i 9 § första stycket i personuppgiftslagen. Däremot ansåg Datainspektionen att be- stämmelserna i personuppgiftslagen skall tillämpas i fråga om in- formation till de registrerade, vilket för del inne- bär att man på lämpligt sätt måste informera sina passagerare om vem som är personuppgiftsansvarig, ändamålet med personupp- giftsbehandlingen, mottagarna av uppgifterna samt rätten för den registrerade att ansöka om information och att få rättelse. I ett ärende som gällde förhandskontroll av en behandling av känsliga personuppgifter för forskningsändamål (dnr 89-2003) har Datainspektionen konstaterat att bestämmelser i lagen (2001:99) om den officiella statistiken om information till de registrerade av- viker från personuppgiftslagens bestämmelser och skall tillämpas i stället för dessa. skulle bedriva forskning om arbetslöshet och arbetsmarknad och behövde för detta ändamål en mängd personuppgifter från databas . Bland de uppgifter som skulle användas fanns känsliga personuppgifter, såsom uppgift om arbetshandikapp. Uppgifterna skulle lämnas ut från i enlighet med be- stämmelserna i 16–18 §§ lagen om den officiella statistiken, vilket innebär dels att uppgifterna skulle kodas innan de lämnades ut, dels Utvecklingen i rättstillämpningen och av annan vägledning att skulle behålla kodnyckeln. Uppgifterna skulle således med personuppgiftslagens definition vara person- uppgifter. hade inte för avsikt att informera de personer vars uppgifter skulle användas i forskningen. Datainspek- tionen konstaterade att 18 § lagen om den officiella statistiken in- nehåller en bestämmelse som innebär att den som har fått kodade uppgifter för forskningsändamål i enlighet med 16 § i den lagen inte behöver lämna någon information till de registrerade, förutsatt att den som fått uppgifterna inte själv har möjlighet att vidta någon åtgärd för att identifiera den registrerade. Inspektionens slutsats blev att bestämmelsen avviker från personuppgiftslagens bestäm- melser och skall tillämpas i stället för dessa, vilket innebär att Upp- sala universitet inte behöver informera de registrerade om att deras uppgifter behandlas i forskningen. 5.3.2Personuppgifter (3 §) Datainspektionen har (dnr 1123-2000) ansett att det inte var fråga om personuppgifter när en kommun på en webbplats informerade om när brottslingar skulle friges. Informationen omfattade uppgif- ter om att en person hemmahörande i ett visst område i kommunen och dömd för visst brott snart skulle släppas, men utan direkta namn- eller adressuppgifter. 5.3.3Personuppgiftsansvar (3 §) Datainspektionen har i ett ärende (dnr 785-2000) uttalat sig i frå- gan om den som från en egen webbplats på Internet länkar till en annan webbplats som innehåller personuppgifter kan betraktas som personuppgiftsansvarig för behandlingen av dessa uppgifter. Data- inspektionen uttalade följande: Finns det en länk på en webbplats till en annan webbplats med per- sonuppgifter så anses personuppgifterna på den senare webbplatsen inte göras tillgängliga på den första webbplatsen enbart genom länken. Lagligheten av behandlingen av personuppgifterna bedöms således en- dast på den senare webbplatsen. Innehåller länken i sig personuppgifter torde dock en behandling ske av dessa uppgifter på den första webb- platsen. Utvecklingen i rättstillämpningen och av annan vägledning 5.3.4Förhållandet till tryck- och yttrandefriheten (7 §) Datainspektionen har handlagt flera ärenden som gällt gränsdrag- ningen mot det grundlagsskyddade området enligt tryckfrihetsför- ordningen och yttrandefrihetsgrundlagen och frågan om vad som är att anse som behandling uteslutande för journalistiska ändamål enligt 7 § andra stycket personuppgiftslagen. Inspektionen har ock- så i något fall berört frågan om vad som är att anse som en behand- ling uteslutande för konstnärligt skapande enligt 7 § andra stycket personuppgiftslagen. I klagomålsärendet press nu fann inspektionen (beslut i ärende med dnr 722-99) att en sammanställning av ärenden från () som publicerats på en webbplats av redaktionen för en tryckt periodisk skrift omfattades av yttrandefrihetsgrundlagen och att behandling- en av personuppgifter föll utanför tillämpningsområdet för person- uppgiftslagen. I ett efterföljande självanmält ärende fann inspek- tionen (beslut i ärende med dnr 785-99) att en enskild persons vidarespridning av sammanställningen hade sin grund i en grundlagsskyddad publicering som får anses utgöra vedertagen journalistik och att dennes publicering föll under begreppet uteslu- tande journalistiska ändamål i 7 § andra stycket personuppgiftsla- gen. Ett uppmärksammat ärende avsåg tillsyn mot ett företag som bedrev skolfotografering för framställning och spridning av skolka- taloger med fotografier på cd-skivor. Datainspektionen fann (be- slut i ärende med dnr 2078-99) att det var fråga om framställning och spridning av tekniska upptagningar som omfat- tades av grundlagsskydd enligt yttrandefrihetsgrundlagen varför hindrande bestämmelser i personuppgiftslagen inte skall tillämpas. Datainspektionen har i ett par fall inlett tillsyn mot företag som på Internet publicerar domstolsavgöranden i sin helhet dvs. med alla i domarna förekommande personuppgifter öppet redovisade. Datainspektionen fann i ett av dessa fall att publiceringen uppen- barligen omfattades av grundlagskydd enligt yttrandefrihetsgrund- lagen (beslut i ärende med dnr 21-2002). I ett annat fall fann inspektionen (beslut i ärende med dnr 703-2001) att företagets invändning om att behandlingen av personuppgifter omfattades av grundlagsskydd som avses i 7 § första stycket per- sonuppgiftslagen fick godtas. Datainspektionen har, som det sist nämnda fallet antyder, iaktta- git stor försiktighet när det gäller fall där omständigheterna gett Utvecklingen i rättstillämpningen och av annan vägledning indikationer på att behandlingen kan falla under den grundlags- skyddade tryck- och yttrandefriheten. Som anges i förarbetena till 7 § personuppgiftslagen får en invändning om att en behandling av personuppgifter avser sådant som är undantaget enligt denna para- graf godtas, om det inte av omständigheterna framgår att invänd- ningen är så osannolik att den kan lämnas utan avseende (prop. 1997/98:44 s. 119). Datainspektionen avskrev ett klagomålsärende (beslut i ärende med dnr 442-99) som gällde en kommuns pub- licering av fotografier på en webbplats efter att kommunen anfört omständigheter till stöd för grundlagsskydd. I ett ärende som avsåg ett bolag som tillhandahöll abonnentupp- lysningar ur en databas benämnd Privatpersoner A-Ö på en webbplats fann Datainspektionen att bolagets invändning om att dess behandling av personuppgifter omfattades av grundlagsskydd fick godtas, varför ärendet avskrevs (beslut i ärende med dnr 331-2002). Bolaget ansåg sig ha stöd för att i yttrandefri- hetsrättsligt skyddade former tillhandahålla upplysningar direkt ur databasen bl.a. med hänvisning till att bolaget framställde cd-skivor med sådana abonnentupplysningar och var ett sådant företag för yrkesmässig framställning av tekniska upptagningar som avses i 1 kap. 9 § yttrandefrihetsgrundlagen. Också frågan om en behandling har skett uteslutande för journa- listiska ändamål har varit uppe till bedömning. Ett tillsynsärende (beslut i ärende med dnr 138-2003) gällde Svenska Styrkelyftförbundets publicering av personuppgifter om dopning- avstängda personer på sin webbplats på Internet. Datainspektionen fann att denna publicering av personuppgifter på Internet låg inom ramen för ett journalistiskt ändamål att informera, utöva kritik och väcka debatt om samhällsfrågor av betydelse för allmänheten. I ett annat tillsynsärende (beslut i ärende med dnr 1228-2003) hade inspektionen att ta ställning till Svenska Travspor- tens publicering av uppgifter om överträdelser av olika slag på sin webbplats på Internet under . Datainspektionen ansåg att även denna publicering av per- sonuppgifter på Internet torde ligga inom ramen för ett journalis- tiskt ändamål att informera, utöva kritik och väcka debatt om sam- hällsfrågor av betydelse för allmänheten. Undantaget i 7 § andra stycket personuppgiftslagen för behand- ling av personuppgifter som sker uteslutande för konstnärligt ska- pande åberopades av en kommun i ett tillsynsärende. Kommunen hade publicerat namnen på de 47 772 invånarna i kommunen på sin Utvecklingen i rättstillämpningen och av annan vägledning webbplats och menade att publiceringen var att hänföra till sådant konstnärligt skapande som avses i bestämmelsen i personuppgifts- lagen. Det konstnärliga syftet med publiceringen var enligt kom- munen att åskådliggöra en mängd, att gestalta hur många 47 000 personer är. Datainspektionen fann (beslut i ärende med dnr 1062-99) det uppenbart att lagstiftaren inte menat att bestämmelsen i 7 § personuppgiftslagen om konstnärligt ska- pande skall tillämpas i ett sådant fall. 5.3.5Berättigade ändamål (9 §) och tillåten behandling (10 §) Datainspektionen har bedömt flera fall av behandling av person- uppgifter som rört digital inspelning av telefonsamtal. Det har gällt både myndigheters och privata företags inspelning av telefonsam- tal. Ändamålen med inspelningarna i de fall som bedömts var an- tingen dokumentation av hot eller kvalitetssäkring. När det gäller inspelning vid hot konstaterade inspektionen i ett samrådsärende som rörde (beslut i ärende med dnr 978-2002) att domstolar är sådana myndigheter där risken är särskilt stor att personal utsätts för våld eller annat allvarligt men. Syftet med inspelningen var att snabbt kunna agera när hot framförs vid telefonsamtal till domstolens växel. Enligt in- spektionens mening talade därför mycket för att den tänkta inspel- ningen och lagringen av telefonsamtal kunde bedömas som tillåten med stöd av en sådan intresseavvägning som avses i 10 § f person- uppgiftslagen. En annan bedömning gjorde inspektionen när det gällde ett före- tags inspelning av samtal från kunder (beslut i ärende med dnr 113-2003). Företaget ville spela in de anställdas samtal med kunder för att i efterhand kunna bedöma kvaliteten på samta- len. Inspektionen konstaterade att det var tveksamt om kvalitets- säkring av kundsamtal genom inspelning alltid är ett sådant berätti- gat ändamål som anges i 9 § personuppgiftslagen, särskilt med hän- syn till de möjligheter till medlyssning som finns. Fråga uppkom också om inspelningen kunde vara tillåten efter samtycke från kun- derna. Inspektionen ansåg att ett samtycke från kunderna att bli inspelad kunde ifrågasättas, särskilt om kunden i de fall denne inte ville bli inspelad endast var hänvisad till personligt besök eller e- post. Vid en intresseavvägning enligt 10 § f personuppgiftslagen fann inspektionen att den enskildes, dvs. kundens, personliga in- Utvecklingen i rättstillämpningen och av annan vägledning tegritet i allmänhet vägde tyngre än den personuppgiftsansvariges intresse. Inspektionen hänvisade slutligen i ärendena till kravet på information till de registrerade. Ett annat tillsynsärende (beslut i ärende med dnr 1535-2002) gällde digital inspelning av telefonsamtal mellan kunder och anställda vid något av kundcentrum, dit allmänheten bl.a. kunde ringa och fråga om biverkningar av läkemedel. Datain- spektionen ansåg att hade ett berättigat intresse av att spela in samtalen. Vidare fann inspektionen att intresse av att behandla personuppgifterna vägde tyngre än de registrerades intresse av skydd mot integritetskränkningar.