sou · GSB36 · 2005-01-01 00:00:00 — Enligt vad [A] själv har berättat är utrett att han har haft uppsåt till de faktiska omständigheterna, dvs. att han vidtog åtgärder med bilder av identifierbara personer och att bilderna, genom att läggas ut på In- ternet, skulle bli tillgängliga för Internetanvändare i hela världen. Det förhållandet att [A] kan ha varit okunnig om det närmare innehållet i personuppgiftslagen fritar honom inte från ansvar. I målet är utrett att [A] har behandlat [svägerskans] personuppgifter i strid med personuppgiftslagen. [A] är därmed enligt 48 § personupp- giftslagen skyldig att ersätta [svägerskan] för skada och för kränkning av den personliga integriteten som behandlingen har orsakat. [A] har på Internet lagt ut ett stort antal bilder av [svägerskan], tag- na när hon var barn. Även om bilderna är av vardaglig karaktär och allt- så i sig inte anmärkningsvärda, måste ändå beaktas att det rör sig om bilder som till sin natur är privata och som [svägerskan] inte haft skäl att anta skulle få en stor spridning bland okända. Dessa omständigheter i förening med utformningen av webbsidan innebär enligt tingsrättens mening en förhållandevis allvarlig kränkning av [svägerskans] personli- ga integritet. Ersättningen för kränkning bestäms till skäliga . Enligt [svägerskans] och [en annan persons] samstämmiga uppgifter har [svägerskan] mått psykiskt dåligt av vetskapen att [A] hade lagt ut bilder av henne på Internet. Som tingsrätten har konstaterat ovan måste [A:s] handlande anses ha inneburit en förhållandevis allvarlig kränkning av hennes personliga integritet. Tingsrätten finner mot denna bakgrund att det får anses utrett att det i målet aktuella brottet har orsakat [svä- gerskan] sådan skada som skall ersättas i form av sveda och värk. Er- sättningen bestäms till skäliga . Tingrätten dömde A för brott mot personuppgiftslagen och viss annan brottslighet till skyddstillsyn och åttio dagsböter samt för- pliktade honom att betala sammanlagt i skadestånd till svägerskan. I ett annat fall dömde en person för brott mot personuppgiftslagen till 50 dagsböter för att han på en hemsida på Internet utan samtycke publicerat uppgifter av rent privat karaktär – om bl.a. födelsetid, adress och familjeförhållanden – om en kvin- Utvecklingen i rättstillämpningen och av annan vägledning na som inte varit harmlösa och därmed fört över uppgifterna till tredje land (dom i mål nr B 879-02). Ett par fall har gällt publicering på Internet av sexkontaktannon- ser. I ett fall dömde en person till fängelse i tre må- nader för grovt förtal och brott mot personuppgiftslagen för att han låtit publicera på Internet sexkontaktannonser om en f.d. sambo (dom i mål nr B 296-01). har efter överklagande fastställt domen (dom i mål nr B 4812-02, RH 2002:71), och har inte meddelat prövningstillstånd (beslut i mål nr B 4382-02). I ett annat fall dömde Södra Roslags tingsrätt en person till fängelse för brott mot personuppgifts- lagen, grovt förtal och anstiftan till sexuellt ofredande för att han publicerat en sexkontaktannons på Internet om en flicka han lärt känna via Internet (dom i mål nr 2614-03). Flickan fick skadestånd med , varav för sveda och värk och för kränkning. Den dömde har överklagat domen. Upprättande av datoriserat register över politiska motståndare Ett fall har gällt upprättandet av ett regelrätt datoriserat register som inte publicerats på Internet. Riksåklagaren åtalade två personer för brott mot personuppgiftslagen, grovt brott, för att de på auto- matisk väg olovligen lagrat uppgifter om mer än ettusen personer i ett register. Personuppgifterna avsåg ras eller etniskt ursprung, po- litiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening, sexualliv och domar i brottmål. Syftet med registre- ringen var enligt åtalet att kunna sprida uppgifterna och därmed bl.a. möjliggöra angrepp på personer på grund av deras politiska uppfattning, ras, etniska ursprung eller trosbekännelse. (dom i mål nr B 1124-00) ogillade åtalet mot den ena personen eftersom han påbörjat behandlingen av personuppgifterna medan datalagen gällde och då det han gjort inte var straffbart enligt både datalagen och personuppgiftslagen (se 5 § lagen om införande av ). Den andra personen dömdes till tre månaders fängelse för grovt brott mot personuppgiftslagen och ringa vapenbrott (avseende tår- gas). Han hade invänt att behandlingen var av rent privat natur och att den hade journalistiska ändamål. Tingsrätten ansåg dock att re- gistret, med det innehåll och den utformning det hade, inte kunde Utvecklingen i rättstillämpningen och av annan vägledning bidra till information, kritik och debatt om samhällsfrågor av bety- delse för allmänheten. Enligt tingsrätten var det uppenbart att re- gistret inte hade något som helst att tillföra samhälls- och allmänin- tresset. Registret saknade enligt tingsrättens mening värde som bakgrundsinformation för en seriös samhällsdebatt. Det var, enligt tingsrätten, uppenbart att den verkliga avsikten med behandlingen varit att kartlägga politiska motståndare och att på något sätt sprida uppgifter om dem och därmed möjliggöra angrepp på dem. När det gällde bedömningen att brottet mot personuppgiftslagen var grovt noterade tingsrätten följande omständigheter. Behand- lingen hade rört en mängd personer och avsett mycket känsliga uppgifter. Syftet med behandlingen var att kartlägga politiska me- ningsmotståndare och utsätta dessa för trakasserier. Behandlingen hade haft ett diskriminerande motiv. Behandlingen hade inneburit en avsevärd kränkning av de registrerades personliga integritet. Mot bakgrund av omfattningen av behandlingen och den synner- ligen stora kränkning denna inneburit för människors personliga integritet ansåg tingsrätten att brottet var av en sådan art att påfölj- den skulle bestämmas till fängelse. Tingsrätten biföll också åklagarens yrkande om förverkande en- ligt 36 kap. 3 § första stycket första punkten av bl.a. CD-skivor och handskrivna lappar som innehöll känsliga person- uppgifter och personuppgifter som avser domar i brottmål. Ett skadestånd för kränkning om dömdes också ut. Yt- terligare skadeståndsanspråk avskildes från brottmålet och hand- läggs som separata tvistemål. Åklagaren, den person som dömts och målsägandena överklaga- de tingsrättens dom. Hovrätten över och (dom i mål nr B 3113-02) frikände den person som dömts vid tingsrätten och dömde den person som frikänts vid tingsrätten för brott mot datalagen. Hovrätten ansåg att båda tilltalade hade på- börjat sin behandling av personuppgifterna redan innan person- uppgiftslagen trädde i kraft och att det därför krävdes att det de gjort var straffbart enligt både datalagen och personuppgiftslagen. Hovrätten kom fram till att den person som frikändes inte hade fört ett sådant personregister som datalagen gällde för och därför inte kunde dömas för brott mot den lagen. Den andra personen hade emellertid enligt hovrätten brutit mot förbudet i datalagen mot att lämna ut en personuppgift i ett personregister, om det finns anledning att anta att uppgiften skall användas för automatisk databehandling i strid med datalagen, genom att lämna en CD- skiva med ett datorregister till den frikände. Utvecklingen i rättstillämpningen och av annan vägledning bl.a. känsliga personuppgifter är enligt hovrätten straffbar också enligt personuppgiftslagen. Hovrätten ansåg att det kunde hållas för säkert att de tilltalade inte haft sådant syfte med behandlingen som avses med undantaget från personuppgiftslagen för rent privat behandling och behandling för journalistiska ändamål (6 och 7 §§). Hovrätten pekade bl.a. på att de, trots att de haft tillgång till upp- gifterna , inte redovisat några resultat av journalistisk verksamhet. En målsägande fick ett skadestånd enligt datalagen. Tvistemål om skadestånd för förbrytargalleri på Internet I ett tvistemål om skadestånd för brott mot personuppgiftslagen har Hovrätten för (dom i mål nr T 2505-01)22 med hänvisning till Högsta domstolens avgörande i NJA 2001 s. 409 ansett att en publicering av namn och bild på In- ternet i ett förbrytargalleri på en hemsida som var gjord för att visa hur myndigheter och en entreprenör agerat i samband med ett vägbygge skett uteslutande för journalistiska ändamål. 5.2.2Tillämpning av 7 kap. 16 § sekretesslagen Enligt 7 kap. 16 § sekretesslagen gäller sekretess för personuppgift om det kan antas att ett utlämnande skulle medföra att uppgiften behandlas i strid med personuppgiftslagen. Rättsfall om tillämp- ningen av den bestämmelsen kan därför ge vägledning om vilken behandling av personuppgifter som står eller inte står i strid med personuppgiftslagen. Det är i själva verket främst genom avgöran- den om tillämpningen av 7 kap. 16 § sekretesslagen som person- uppgiftslagen kommit upp i domstol. Det finns tre vägledande rättsfall från högsta instans – Reger- ingsrätten. Ett fall från Regeringsrätten – RÅ 2001 ref. 35 – har gällt frågan om en viss behandling av personuppgifter omfattas av person- 22 har inte meddelat prövningstillstånd, beslut i mål nr T 2872-02. Utvecklingen i rättstillämpningen och av annan vägledning uppgiftslagen därför att uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier, 5 § andra stycket personuppgiftslagen. Ett företag ville ha ut betygsuppgifter på papper från () om cirka 1 400 studenter. Vid utlämnandet skulle uppgifterna vara sorterade efter studenternas efternamn. Företaget skulle därefter manuellt beräkna medelbetyg för varje student och sortera handlingarna ef- ter medelbetyg. Regeringsrätten förordnade att betygshandlingarna skulle lämnas ut till företaget och anförde i domskälen bl.a. följan- de: Av lagtexten, förarbetena och persondatadirektivet får anses framgå att någon form av förberedelse eller bearbetning måste ha ägt rum för att personuppgifter i ett antal dokument skall kunna anses ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Detta innebär enligt Regeringsrättens mening att tillgängligheten i regel måste ha åstad- kommits genom något särskilt arrangemang för sökning bland uppgif- terna, t.ex. i form av kortregister, sökmarkörer eller liknande. Det skall således finnas möjlighet till sökning av olika personuppgifter på ett be- tydligt effektivare sätt än i form av en genomgång och granskning do- kument för dokument. Detta leder till slutsatsen att en sortering av ett antal dokument i en viss ordning inte utan ytterligare åtgärder kan an- ses uppfylla det i lagtexten angivna kravet. Regeringsrätten finner där- för att personuppgifterna i de efterfrågade handlingarna vid ett utläm- nande från KTH inte ingår i en sådan samling som omfattas av PUL. Frågan är då om personuppgifterna i de handlingar som återstår efter det att bolaget gallrat handlingarna och sorterat återstående handlingar efter varje students betygsgenomsnitt kan sägas ingå i en sådan samling. Med hänsyn till vad som uppgivits om det beräknade antalet återståen- de handlingar [några tiotal betygshandlingar] kan det i och för sig ifrå- gasättas om mängden uppgifter är tillräcklig för att kunna utgöra en så- dan samling. Utan ytterligare bearbetning utgör handlingarna emeller- tid även i detta skick endast ett antal handlingar sorterade i en viss ord- ning. Kravet på bearbetning är i den situationen enligt Regeringsrättens mening lika litet uppfyllt som vid ett utlämnande från KTH. Den omständigheten att möjligheten finns att i stället sortera handlingarna efter studenternas ålder eller i bokstavsordning efter studenternas ef- ternamn ändrar inte detta förhållande. Kammarrätten i har (dom i mål nr 3398-2000) gjort en liknande bedömning i fråga om en förteckning Utvecklingen i rättstillämpningen och av annan vägledning över gällande hyreskontrakt hos ; en komplettering av förteckningen, sorterad efter adress, med ytterligare en kolumn med namn ansågs inte innebära att personuppgifterna i förteck- ningen blev tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Även Kammarrätten i har (dom i mål nr 1521-2001) gjort en liknande bedömning i fråga om betygskatalo- ger över grundskoleelever i en kommun. Länsrätten i har (dom i mål nr 4349-02 E) bedömt att en samling mikrokort i pärmar i visst fall utgjort ett sådant manuellt register som omfattas av personupp- giftslagen, se om fallet i avsnitt 5.2.3. har (dom i mål nr B 506-02) i ett mål om ansvar för tjänstefel gjort bedömningen att förandet av en förteckning i en anteckningsbok över personer som omhänderta- gits enligt lagen (1976:511) om omhändertagande av berusade per- soner, som var sökbar endast på namn, inte omfattas av personupp- giftslagen. Behandling för direkt marknadsföring eller liknande Det andra rättsfallet från Regeringsrätten – RÅ 2001 ref. 68 – gäll- de frågan om behandling av personuppgifter för direkt marknads- föring var tillåten efter en intresseavvägning enligt 10 § f person- uppgiftslagen. Ett företag hade hos begärt att få ut en kopia av verkets adressregister över mjölkproducenter för att kunna marknadsföra sina foderprodukter. Regeringsrätten förord- nade att adressregistret skulle lämnas ut till företaget och anförde i domskälen bl.a. följande: Den av bolaget avsedda behandlingen omfattas av PUL och får anses nödvändig för att tillgodose bolagets intresse av att på visst sätt mark- nadsföra foderprodukter. Detta ändamål får enligt Regeringsrättens mening ses som ett berättigat intresse. Fråga är då om begärda uppgif- ter kan lämnas ut på den grunden att bolagets intresse av att behandla uppgifterna för marknadsföring kan anses väga tyngre än den enskildes integritetsintresse. [E]nligt 10 § f PUL [skall] en avvägning göras mellan – i det här fal- let – bolagets kommersiella intresse och den enskildes intresse av skydd mot kränkning av den personliga integriteten. Med hänsyn till att det är fråga om marknadsföring riktad till näringsidkare, att uppgif- terna i fråga inte kan bedömas som känsliga och att den enskilde kan Utvecklingen i rättstillämpningen och av annan vägledning motsätta sig att personuppgifterna används för direkt marknadsföring finner Regeringsrätten att bolagets kommersiella intressen får anses väga tyngre än den enskildes integritetsintresse. Kammarrätten i hade i ett tidigare fall om utlämnande av adressregistret (dom i mål nr 3865-1999) kommit till motsatt slutsats och vägrat utlämnande. Det tredje fallet från Regeringsrätten – RÅ 2002 ref. 54 – gällde också intresseavvägning enligt 10 § f personuppgiftslagen vid direkt marknadsföring. Ett företag ville ha ut Centrala Studiestödsnämn- dens register över studiestödsmottagare för att sända erbjudanden om rabatter till studenterna en gång per termin. Eftersom det var fråga om en stor mängd personuppgifter, fick det antas att företa- get hade för avsikt att använda sig av helt eller delvis automatiserad behandling. Regeringsrätten fann att den avsedda behandlingen omfattades av personuppgiftslagen och fick anses vara nödvändig för att tillgodose företagets intresse av att i marknadsföringssyfte skicka ut rabatterbjudandena, ett intresse som befanns berättigat. Regeringsrätten refererade övervägandena angående intresseavväg- ningen i fråga om register över mjölkproducenter som var näringsidkare (RÅ 2001 ref. 68) och fortsatte: I detta mål är det emellertid fråga om privatpersoners intresse av skydd för den personliga integriteten. Det bör i ett sådant fall därför krävas att avvägningen mellan bolagets kommersiella intresse och den enskildes integritetsintresse på ett entydigt sätt utfaller till det först- nämndas förmån för att ett utlämnande av de begärda uppgifterna skall kunna ske. Såvitt gäller den planerade marknadsföringens omfattning beaktar Regeringsrätten att denna får anses vara förhållandevis begränsad ge- nom att den inskränker sig till ett utskick per termin. Beträffande marknadsföringens innehåll har bolaget inte närmare klargjort vilka fö- retag som kommer att erbjuda rabatter eller andra förmåner via bola- gets rabattkort. Det saknas emellertid skäl att anta att marknadsföring- en skulle komma att innehålla inslag som i sig kan betraktas som integ- ritetskränkande. Det bör vidare beaktas att de uppgifter som begärs utlämnade inte kan bedömas vara känsliga. Den bedömningen förändras inte av det förhållandet att enligt nu gällande studiestödslag (1999:1395) storleken på såväl studiebidrag som studielån påverkas av den studerandes in- komster. Den omständigheten att en studerande erhåller studiemedel i någon omfattning kan nämligen, med hänsyn till det s.k. fribeloppets storlek och den successiva nedtrappning av studiemedlen som sker vid Utvecklingen i rättstillämpningen och av annan vägledning inkomster som överstiger det beloppet, inte leda till någon annan slut- sats om hans eller hennes övriga inkomstförhållanden än att dessa inte är osedvanligt goda. Med hänsyn till nu nämnda förhållanden, liksom till att den enskilde har en ovillkorlig rätt att motsätta sig att personuppgifterna används för direkt marknadsföring, finner Regeringsrätten att bolagets kom- mersiella intresse i förhållande till det motstående integritetsintresset väger så tungt att dess tilltänkta behandling av personuppgifterna inte kan anses stå i strid med 10 § PUL. Det kan inte heller antas att den planerade behandlingen av personuppgifterna skulle strida mot någon annan bestämmelse i PUL. Ytterligare ett par kammarrättsfall har gällt tillåtligheten av direkt marknadsföring eller liknande. I ett fall hade ett försäkringsbolag hos begärt att få ut uppgifter om födelsetid (personnumrets sex första siffror) och postnummer för alla anställda hos polisen för att kunna sortera bort dessa offentliganställda inför ett utskick som bolaget tänkte göra till bara privatanställda. Kammarrätten i (dom i mål nr 1138-2001) ansåg att den avsedda behandlingen inte stod i strid med 10 § personuppgiftslagen och förordnade att uppgifterna skulle lämnas ut. Motsvarande bedömning gjorde Kammarrätten i (dom i mål nr 4384-2002) när försäkringsbolaget be- gärde att få ut adressuppgifter för de anställda vid tionen för att sända ut direkt marknadsföring till dem. I ett fall hade hos be- gärt att få ut uppgift om namn, adress och personnummer för näs- tan 300 000 personer ur verkets jaktkortsregister för att använda för medlemsvärvning. Kammarrätten i (dom i mål nr 5033-03) fann att den tilltänkta behandlingen av personnummer inte var förenlig med 22 § personuppgiftslagen. Kammarrätten ansåg dock att behandlingen av uppgifter om namn och adress inte stod i strid med 10 § f personuppgiftslagen och för- ordnade att dessa uppgifter skulle lämnas ut till förbundet. Behandling för utsändande av enkäter eller liknande Ett par kammarrättsfall har gällt utsändande av enkäter eller lik- nande. Utvecklingen i rättstillämpningen och av annan vägledning I ett fall hade en person begärt att få ut register över personal vid trafikskolor, inklusive personnummer, för att på upp- drag av göra en enkätunder- sökning om varför trafikskolepersonal slutar sin anställning. Det ansågs tveksamt om behandlingen var tillåten enligt 10 och 22 §§ personuppgiftslagen och utlämnande vägrades (Kammarrättens i dom i mål nr 2670-200123).24 I ett annat fall hade begärt att få ut adressuppgifter för 20 000 personer ur jakt- kortsregister för att sända ut en enkät för att få underlag för stati- stik om avskjutning av djur. Kammarrätten i noterade (dom i mål nr 2620-2002) att bär huvudansvaret för att leda delar av viltvården och jakten i landet och att detta utgör en arbetsuppgift av allmänt intresse. Eftersom den avsedda användningen av personuppgifterna var nödvändig för arbetsuppgiftens utförande, fanns det inte något hinder enligt 7 kap. 16 § sekretesslagen mot att lämna ut uppgifterna. Vägran att ange ändamålet med insamlingen I ett kammarrättsfall där en sökande hade låtit bli att ange ändamå- let med insamlingen av vissa personuppgifter ansågs det kunna an- tas att uppgifterna skulle komma att behandlas i strid med person- uppgiftslagen (Kammarrättens i dom i mål nr 1443-2000). Utlämnande av personuppgifter till anställda vid massmedieföretag m.m. Några kammarrättsfall har gällt utlämnande av personuppgifter till anställda vid massmedieföretag (Kammarrättens i dom i mål nr 23-2000, Kammarrättens i dom i mål nr 1226-2000, Kammarrättens i dom i mål nr 7459-2000 och Kammarrättens i dom i mål nr 1737-2001). I samtliga fall har sökandena fått ut uppgifterna efter överklagande, oftast med motiveringen att 23Regeringsrätten har vägrat att medge prövningstillstånd. 24Jämför i fråga om behandling av personnummer Kammarrättens i dom i mål nr 9572-1999. Utvecklingen i rättstillämpningen och av annan vägledning personuppgiftslagen inte är tillämplig på sådan verksamhet som är grundlagsskyddad. Ett fall har gällt utlämnande av personuppgifter till en person som studerade journalistik. En person hade hos det kommunala bostadsaktiebolaget begärt att få ut personuppgifter om hyresgäster m.m. Poseidon avslog begäran med hänvisning till sek- retess enligt bl.a. 7 kap. 16 § sekretesslagen. I överklagande till kammarrätten anförde personen att han studerade journalistik på universitet och behövde uppgifterna för ett examensarbete i form av en journalistisk produkt avsedd att publiceras i tryckt periodisk skrift. Kammarrätten i (dom i mål nr 6296-2002) ansåg att klagandens uppgifter fick godtas och att per- sonuppgiftslagen därmed inte var tillämplig i målet. I detta avsnitt berörs några fall som har viss anknytning till person- uppgiftslagen. Intresseavvägning, känsliga personuppgifter, personnummer I ett ärende om tillämpning av 17 § socialförsäkringsregisterlagen (1997:934) i tidigare lydelse uppkom fråga om en viss behandling var förenlig med personuppgiftslagen. Sjukförsäkringsaktie- bolag ansökte hos Datainspektionen om att enligt det nämnda lag- rummet få ut personuppgifter ur socialförsäkringsregistret på me- dium för automatisk databehandling. ville ha uppgifter – bl.a. personnummer – på personer som haft förtidspension eller sjukbi- drag för att söka efter personer som kan vara berättigade till försäk- ringsersättning från . Datainspektionen avslog ansökan efter- som ett utlämnande av uppgifterna skulle medföra att de behandlas i strid med personuppgiftslagen. överklagade beslutet till Länsrätten i som biföll överklagandet, dom i mål nr 11256-99. Länsrätten berörde bl.a. frågan om behandlingen av personuppgifter var tillåten enligt bestämmelsen i 10 § f personuppgiftslagen om en intresseavvägning och anförde bl.a. följande: Med hänsyn till ändamålet med behandlingen – att möjliggöra för att informera de försäkrade att de kan ha rätt till ersättning och Utvecklingen i rättstillämpningen och av annan vägledning uppmana dem att ansöka om sådan – och att det är relativt begränsade uppgifter som skall hämtas in samt vad som upplysts om hanteringen, nämligen att den skall ske automatiserat och att ingen enskild person kommer att befatta sig med några personuppgifter, får intresse av att genomföra behandlingen [] anses väga över de registrerades in- tegritetsintresse. Ytterligare en förutsättning för behandling är att en behandling av personuppgifter inte strider mot förbudet i 13 § andra stycket person- uppgiftslagen att behandla känsliga personuppgifter som rör hälsa. En uppgift om varför någon uppbär förtidspension eller sjukbidrag skulle kunna sägas röra en persons hälsa. Enbart en uppgift om att en person uppbär förtidspension eller sjukbidrag kan dock enligt länsrät- tens mening inte anses röra en persons hälsa. Eftersom det enda sättet att identifiera de försäkrade är att samköra personnummer, får användningen av personnummer anses motiverad.