sou · GXB314 · 2009-02-17 00:00:00 — I skälen uttalade domstolen bl.a. att de undantag som föreskrivs i artikel 9 inte ska tillämpas endast på medieföretag utan på alla personer som är journalistiskt verk- samma, att verksamhet kan anses vara journalistisk om den syftar till att sprida information, åsikter eller idéer till allmänheten obero- ende av genom vilket medium detta sker och att sådan verksamhet inte är förbehållen medieföretag och kan bedrivas i vinstsyfte. Regeringen angav i proposition om översyn av personuppgiftslagen16 att det stod klart att kommissionen inte inom någorlunda överskådlig tid lär komma att presentera några förslag till ändringar av direktivet. I ett meddelande från kommissionen till och Rådet av om uppföljningen av arbetsprogrammet för ett bättre genomförande av dataskydds- direktivet anger kommissionen att den inte planerar att lägga fram några förslag om ändring av direktivet. Såvitt Yttrandefrihetskom- mittén känner till pågår inte heller nu något sådant arbete. 2005/06:173 s. 17. 17KOM (2007) 87 slutlig. Integritetsaspekter på det frivilliga grundlagsskyddet Här kan också slutligen noteras att det finns ett direktiv om integritet och elektronisk kommunikation18. Direktivet tillämpas på behandling av personuppgifter i samband med att allmänt till- gängliga elektroniska kommunikationstjänster tillhandahålls i all- männa kommunikationsnät. Det innehåller regler om säkerhet, kon- fidentialitet, trafikuppgifter, specificerade räkningar m.m. Direktivet har genomförts i svensk rätt genom lagen (2003:389) om elek- tronisk kommunikation (se avsnitt 2.3.8). De straffbestämmelser i (BrB) som i första hand ger skydd för privatlivet, personligheten och den privata ekonomin vid databehandling och publicering av uppgifter är bestämmelserna om förtal och förolämpning. Även gärningar som utgör olaga hot, hets mot folkgrupp, barnpornografibrott, hot mot tjänsteman, övergrepp i rättssak och brott mot medborgerlig frihet kan begås genom publicering av uppgifter, t.ex. i en databas på Internet, och kan då anses röra skyddet för den personliga integriteten. När TF eller YGL är tillämplig är det enbart de gärningar som upptas i dessa grundlagar som kan föranleda straff, och ansvar kan endast ådömas den som där utpekas som ansvarig. BrB:s regler om gärningsmannaskap, anstiftan och medhjälp är alltså inte tillämpliga. Endast enligt reglerna om ansvar för meddelare kan ansvar för medverkande ådömas när ansvarssystemet enligt TF eller YGL är tillämpligt. Samtliga de ovan nämnda gärningarna utom barnporno- grafibrott upptas i TF och YGL och kan alltså föranleda ansvar även när grundlagarna är tillämpliga. Barnpornografibrott faller utanför grundlagsskyddet och bedöms enligt vanlig lag även när det begås i ett i och för sig grundlagsskyddat medium. PuL gäller för själva behandlingen av personuppgifter. En person- uppgift är allt slags information som kan hänföras till en levande fysisk person. Med behandling avses i princip varje åtgärd, t.ex. insamling, lagring, bearbetning, ändring, spridning, sammanställ- 18 och rådets direktiv /58/EG av om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation). Integritetsaspekter på det frivilliga grundlagsskyddet ning och förstöring. Behandling som en fysisk person utför som ett led i en verksamhet av rent privat natur omfattas inte av lagen. Exempel på sådan verksamhet är korrespondens och förande av adressregister. PuL anger inledningsvis i 9 § ett antal grundläggande krav på behandling av personuppgifter. Den personuppgiftsansvarige ska bl.a. se till att personuppgifter behandlas bara om det är lagligt, att uppgifterna alltid behandlas på ett korrekt sätt och i enlighet med god sed, att personuppgifter samlas in endast för särskilda uttryckligt angivna och berättigade ändamål och inte behandlas för annat än detta ändamål, att uppgifterna är adekvata och relevanta i förhållande till ändamålen med behandlingen och att de person- uppgifter som behandlas är riktiga och om nödvändigt aktuella. I 10 § finns en uttömmande uppräkning av de fall då behandling av personuppgifter är tillåten. Huvudregeln är att behandling kräver den registrerades samtycke, men ett antal undantagsfall finns. För behandling av känsliga personuppgifter gäller enligt 13 § ett principiellt förbud. Med känsliga personuppgifter avses uppgifter om ras eller etniskt ursprung, politiska åsikter, religiös eller filoso- fisk övertygelse, medlemskap i fackförening samt hälsa och sexual- liv. Känsliga personuppgifter får behandlas om den registrerade har lämnat sitt samtycke eller på ett tydligt sätt offentliggjort upp- gifterna samt i vissa andra angivna undantagsfall. Uppgifter om lagöverträdelser m.m. får enligt huvudregeln behandlas endast av myndigheter. Datainspektionen (DI) är tillsynsmyndighet enligt PuL. Den personuppgiftsansvarige har en skyldighet att lämna infor- mation om behandlingen till den registrerade och att på begäran av den registrerade rätta, blockera eller utplåna personuppgifter som inte har behandlats i enlighet med PuL. Reglerna i 30–32 §§ om säkerheten vid behandling syftar till att skydda personuppgifter mot bl.a. otillåten behandling. Reglerna innebär bl.a. att de som arbetar med behandling av personuppgifter endast får behandla så- dana uppgifter i enlighet med instruktioner från den personupp- giftsansvarige. PuL innehåller också bl.a. bestämmelser om skadestånd och straff. I 49 § föreskrivs straff bl.a. för den som lämnar osanna upp- gifter i sådan information till den registrerade som föreskrivs i lagen, i anmälan till DI om behandling av personuppgifter eller i information till DI, samt för den som behandlar känsliga person- uppgifter och uppgifter om lagöverträdelser m.m. i strid med reglerna därom. I ringa fall ska inte dömas till ansvar. I 48 § finns regler om skyldighet för den personuppgiftsansvarige att ersätta Integritetsaspekter på det frivilliga grundlagsskyddet den registrerade för skada eller kränkning av den personliga integri- teten som behandling av personuppgifter i strid med PuL har orsakat. I 7 § regleras förhållandet till tryck- och yttrandefriheten. I första stycket sägs att bestämmelserna i lagen inte tillämpas i den utsträckning det skulle strida mot bestämmelserna om tryck- och yttrandefrihet i TF eller YGL. I andra stycket anges att vissa av bestämmelserna i inte ska tillämpas på sådan behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande. I praktiken innebär regeln att endast bestämmelserna om säkerheten vid behandling ska tillämpas på sådan behandling. PuL:s förhållande till tryck- och yttrandefriheten var omdiskuterat i lagstiftningsärendet. Det gällde främst frågan om artikel 9 i direk- tivet tillät ett så omfattande undantag från PuL:s och direktivets bestämmelser som 7 § första stycket PuL innebär. Lagrådet ut- talade att det, med en försiktig formulering, fick anses tveksamt om skulle acceptera att de bestämmelser i direktivet som införlivas med svensk rätt genom den nya lagen fick vika för de svenska grundlagarna i vidare mån än som medges enligt ordalagen av artikel 9 i direktivet och avstyrkte ett så vittgående undantag från integritetsskyddsintressena som följer av att TF och YGL tolkas in i artiklarna. Lagrådet uttalade också att ville man vara säker på att inte lagstifta i strid med direktivet borde i stället reglerna i TF och YGL ändras så att en konflikt undveks.19 Som har framgått i avsnitt 2.3.3.2 gjorde lagstiftaren emellertid bedömningen att det vid införandet av PuL var möjligt att låta TF och YGL gälla oförändrade med stöd av artikel 9 i direktivet.20 Regeln i 7 § första stycket PuL innebär att PuL:s tillämpnings- område bestäms av tillämpningsområdet för TF och YGL och av grundlagarnas materiella bestämmelser. Frågan om vilka regler i PuL som står i konflikt med TF och YGL och som således inte ska tillämpas när en behandling av personuppgifter omfattas av grund- lagarna besvaras inte närmare i propositionen. I kommentaren till PuL behandlas utan anspråk på fullständighet omfattningen av undantaget enligt 7 § första stycket PuL.21 Enligt kommentaren undantas rätten att framställa och sprida yttranden samt meddelar- och anskaffarfriheten. Regeln kan sammanfattningsvis sägas inne- 1997/98:44 s. 236 f. 1997/98:44 s. 51 f., bet. 1997/98:KU18 s. 35, rskr. 1997/98:180. 21Öman, , Personuppgiftslagen En kommentar, 2007 s. 138 f. Integritetsaspekter på det frivilliga grundlagsskyddet bära att tillämpning av PuL är i princip helt utesluten när det gäller förfaranden som omfattas av TF eller YGL. Som har framgått i avsnitt 2.3.3.2 har HD i NJA 2001 s. 409 också gett undantaget angående journalistiska ändamål i 7 § andra stycket PuL ett brett tillämpningsområde. Vid genomförandet av dataskyddsdirektivet konstaterade reger- ingen att den då föreslagna s.k. hanteringsmodellen framstod som omodern.22 Regeringen ansåg att det fanns starka skäl att verka för en övergång från en lagstiftning enligt en hanteringsmodell till en mer missbruksinriktad lagstiftning, dvs. en reglering som mer kon- centrerar sig på att motverka missbruk av personuppgifter än att i detalj reglera all hantering av sådana uppgifter. har också understrukit behovet av dels en revidering av dataskyddsdirektivet, dels en översyn av PuL. En sådan översyn har gjorts och trädde ändringar av PuL i kraft.23 Ändringarna syftade till att underlätta behandlingen av person- uppgifter. PuL utformades i viss utsträckning enligt en missbruks- modell. Det innebär att regleringen inte tar sikte på själva hanteringen av personuppgifterna utan på att uppgifterna inte får missbrukas till skada för någons personliga integritet. En missbruksregel infördes i en ny 5 a §. Regeln har följande lydelse: Bestämmelserna i 9, 10, 13-19, 21-26, 28, 33, 34 och 42 §§ behöver inte tillämpas på behandling av personuppgifter som inte ingår i eller är av- sedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlätta sökning efter eller sammanställning av per- sonuppgifter. Sådan behandling som avses i första stycket får inte utföras, om den innebär en kränkning av den registrerades personliga integritet. Regeln innebär att behandling av personuppgifter i ostrukturerat material, t.ex. löpande text och enstaka ljud- och bildupptagningar, undantas från de flesta av PuL:s detaljerade hanteringsregler. Sådan behandling blir tillåten utan andra restriktioner än att den regist- rerades personliga integritet inte får kränkas. För att hanterings- reglerna ska bli tillämpliga bör det enligt propositionen (prop. 2005/06:173 s. 21) krävas att det finns en tydlig personuppgifts- anknuten struktur. Det är fråga om en sådan struktur om materialet har strukturerats för att underlätta sökning efter och samman- ställning av just personuppgifter. Förslaget innebär att hanterings- 1997/98:44 s. 37. 23SFS 2006:398, prop. 2005/06:173, bet. 2005/06:KU37, rskr. 2005/06:254. Integritetsaspekter på det frivilliga grundlagsskyddet reglerna i PuL inte behöver tillämpas på sådan vardaglig hantering som produktion av löpande text i ordbehandlingsprogram, publicering av löpande text på Internet, användning av ljud- och bildupptag- ningar och korrespondens med e-post, under förutsättning att materialet inte ingår i eller ska infogas i en databas med en person- uppgiftsanknuten struktur såsom ett ärendehanteringssystem. Be- handling av ostrukturerat material får dock inte utföras om den innebär en kränkning av den registrerades personliga integritet. Rikt- linjerna för hur detta ska undvikas sammanfattas i propositionen enligt följande (s. 29): Behandla inte personuppgifter för otillbörliga syften, såsom för- följelse eller skandalisering. Samla inte utan godtagbara skäl en stor mängd uppgifter om en person. Rätta personuppgifter som visar sig vara felaktiga eller miss- visande. Förtala eller förolämpa inte någon annan. Bryt inte mot sekretess eller tystnadsplikt. PuL:s bestämmelser om skadestånd gäller även för förfaranden i strid med den nya missbruksregeln. Det är också straffbart att i strid med den nya regeln uppsåtligen eller av grov oaktsamhet be- handla känsliga personuppgifter och uppgifter om lagöverträdelser m.m. på ett sätt som kränker den registrerades personliga integ- ritet. Gärningar som begås av oaktsamhet av normalgraden är inte straffbara. I lagstiftningsärendet gjordes bedömningen att behandlingen av personuppgifter i ostrukturerat material kan hänföras till en sådan fri- och rättighet som avses i artikel i dataskyddsdirektivet och som kan berättiga medlemsstaterna att göra nödvändiga be- gränsningar av vissa bestämmelser i direktivet.24 Som har angetts i avsnitt 2.3.3.2 innebar detta en delvis ny bedömning av artikelns innebörd. Bedömningen grundas bl.a. på vad kommissionen har ut- talat i sin rapport om genomförandet av dataskyddsdirektivet25 om att förenklade villkor för behandling av personuppgifter som inte innebär någon avsevärd risk för den enskildes rättigheter kan upp- 2005/06:173 s. 33. 25KOM [2003] 265 slutlig. Integritetsaspekter på det frivilliga grundlagsskyddet nås genom att det handlingsutrymme som direktivet ger genom bl.a. artikel 13 utnyttjas. Lagen (1998:112) om ansvar för elektroniska anslagstavlor (BBS- lagen) trädde i kraft . Med en elektronisk anslags- tavla avses i lagen alla tjänster där någon inrättar en möjlighet för användare att sända in egna och ta del av andras meddelanden. Lagen gäller inte den som endast tillhandahåller nät eller andra för- bindelser. Lagen gäller inte tjänster som skyddas av TF eller YGL eller meddelanden som endast är avsedda för en viss eller vissa mot- tagare. Den som tillhandahåller en elektronisk anslagstavla är skyldig att ta bort meddelanden som uppenbart innefattar uppvigling, hets mot folkgrupp, barnpornografibrott, olaga våldsskildring eller intrång i upphovsrätt. Han ska också ha uppsikt över tjänsten. Förhands- granskning krävs inte utan det är tillräckligt med en återkommande kontroll. Som riktmärke anges en gång . Ett sätt att upp- fylla uppsiktsplikten är att upprätta en klagomur. Skyldigheten att ta bort meddelanden är straffsanktionerad. I Kreditupplysningslagen (1973:1173, KuL) finns regler för yrkes- mässigt bedriven kreditupplysningsverksamhet. Reglerna syftar dels till att undanröja risker för att kreditupplysningar ska medföra otillbörligt intrång i enskildas personliga integritet eller leda till skada genom oriktiga eller missvisande uppgifter, dels till att bidra till en effektivt fungerande kreditupplysningsverksamhet. Kreditupplysningsverksamhet får bedrivas endast efter tillstånd av Datainspektionen (DI). Enligt 3 § fjärde stycket KuL krävs dock inte tillstånd för sådan verksamhet i den mån den bedrivs genom offentliggörande av kreditupplysningar på ett sådant sätt som avses i TF eller YGL. Verksamheten ska enligt 5 § första stycket KuL bedrivas så att den inte leder till otillbörligt intrång i personlig integritet genom innehållet i de upplysningar som förmedlas eller på annat sätt, eller till att oriktiga eller missvisande uppgifter lagras eller lämnas ut. För sådan behandling av personuppgifter som omfattas av PuL gäller Integritetsaspekter på det frivilliga grundlagsskyddet i stället 9 § första stycket a, b och d–h den lagen, dvs. krav bl.a. på att personuppgifter behandlas bara om det är lagligt, att behand- lingen sker på ett korrekt sätt och i enlighet med god sed, att de personuppgifter som behandlas är adekvata och relevanta, att inte fler personuppgifter behandlas än som är nödvändigt, att de person- uppgifter som behandlas är riktiga och, om nödvändigt, aktuella, samt att alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna personuppgifter som är felaktiga eller ofullständiga. Uppgifter om fysiska personer får samlas in endast för kredit- upplysningsändamål. Detta gäller dock inte i den utsträckning det skulle strida mot TF eller YGL (5 § femte stycket). Enligt 5 § fjärde stycket KuL får personuppgifter, utan hinder av 10 § PuL, behandlas utan samtycke i kreditupplysningsverksamhet. Enligt 6 § första stycket får uppgifter om en persons ras, etniska ursprung, politiska uppfattning, religiösa eller filosofiska övertyg- else, medlemskap i fackförening, hälsa eller sexualliv inte behandlas i kreditupplysningsverksamhet. Uppsåtliga eller oaktsamma brott mot denna bestämmelse är straffbelagda i 19 §. Bestämmelserna gäller även kreditupplysning som bedrivs på ett sådant sätt som av- ses i TF eller YGL eftersom de faller in under grundlagarnas tillåt- else till vissa lagbestämmelser om kreditupplysning i 1 kap. 9 § TF respektive 1 kap. 12 § YGL (se även prop. 1973:123 s. 50 och prop. 1973:155 s. 131). I 9 § anges att kreditupplysningar om fysiska personer som inte är näringsidkare inte får lämnas ut om det finns anledning att anta att upplysningen kommer att användas av någon annan än den som på grund av ett ingånget eller ifrågasatt kreditavtal eller av liknande anledning har behov av upplysningen. Det finns alltså ett krav på s.k. legitimt intresse. Enligt sista meningen i 9 § gäller kravet dock inte offentliggörande av kreditupplysningar på ett sådant sätt som avses i TF eller YGL. Var och en har enligt 10 § rätt att få besked om huruvida det i kreditupplysningsverksamhet behandlas uppgifter om honom. Bestämmelserna om detta ska dock enligt andra stycket i samma paragraf inte tillämpas i den utsträckning det skulle strida mot TF eller YGL. När en kreditupplysning om en fysisk person lämnas ut ska den som avses med upplysningen få en kopia av den med upplysning om vem som har begärt upplysningen (11 §). Detta krav gäller inte när kreditupplysningen offentliggörs på ett sådant sätt som avses i TF eller YGL. Integritetsaspekter på det frivilliga grundlagsskyddet Om det visar sig att en uppgift i ett register är oriktig eller missvisande ska den enligt 12 § rättas, kompletteras eller uteslutas ur registret. Har en oriktig uppgift tagits in i en kreditupplysning som har lämnats på annat sätt än som avses i TF eller YGL, ska rättelse eller komplettering tillställas var och en som har fått del av uppgiften. Skyldighet att sända rättelse eller komplettering gäller också för uppgifter som har lämnats i en periodisk skrift eller i kreditupplysningsverksamhet som bedrivs genom återkommande offentliggöranden enligt YGL. I RÅ 2003 ref. 30 ansåg Regeringsrätten att de personer som hade hand om ordnandet och utgivningen av en tryckt periodisk skrift som enbart innehöll betalningsanmärkningar utgjorde en redaktion i databasregelns mening. Kreditupplysningsverksamheten omfattades därför av grundlagsskydd enligt databasregeln och KuL:s bestämmelser om krav på legitimt intresse och kreditupplysnings- kopia kunde då inte göras gällande. Här kan nämnas att man i en promemoria som har upprättats i (Ds 2008:34) gör bedömningen att den en- skildes integritet behöver stärkas när kreditupplysningar tillhanda- hålls via webb- eller sms-tjänster som är anknutna till databaser på Internet. I promemorian föreslås att tre av de krav som inte gäller när kreditupplysningar offentliggörs på något sätt som avses i TF eller YGL ska gälla även när kreditupplysningen offentliggörs på ett sådant sätt som avses i databasregeln i 1 kap. 9 § YGL. För- slaget innebär för det första att beställaren av en kreditupplysning om en fysisk person som inte är näringsidkare ska ha ett legitimt behov av informationen, för det andra att en kreditupplysnings- kopia ska sändas till den omfrågade om denne är en fysisk person och, för det tredje, att en rättelse eller komplettering ska sändas till en beställare som har tagit del av oriktiga eller missvisande uppgifter. De föreslagna ändring- arna bedöms i promemorian kunna göras i KuL utan att YGL behöver ändras. Justitiekanslern har i sitt remissyttrande över promemorian26 anfört att de föreslagna ändringarna avseende krav på legitimt be- hov och skyldighet att sända kreditupplysningskopia när det är fråga om databasverksamhet enligt 1 kap. 9 § YGL saknar stöd i YGL och således inte kan genomföras utan föregående grundlags- ändring. Även andra remissinstanser har ifrågasatt förslagens fören- 26 JK:s beslut , dnr 3406-08-80. Integritetsaspekter på det frivilliga grundlagsskyddet lighet med YGL. Promemorian bereds i Justitie- departementet. 2.3.8Andra regler till skydd för den personliga integriteten Sekretesslagen (1980:100) innehåller regler om handlingssekretess och tystnadsplikt i det allmännas verksamhet. Med sekretess för- stås förbud att röja uppgifter vare sig det sker muntligen eller genom att en allmän handling lämnas ut eller på annat sätt. I kap. 2–10 finns de egentliga sekretessbestämmelserna. Kapitel 7–9 innehåller bestämmelser om sekretess med hänsyn till enskildas personliga och ekonomiska förhållanden. Sekretesslagen innehåller inga sanktionsbestämmelser utan hänvisar till BrB. Straffbestäm- melsen om brott mot tystnadsplikt finns i 20 kap. 3 § BrB. Den straffbestämmelsen är dock subsidiär till andra föreskrifter som särskilt straffbelägger gärningar som innebär att en hemlig uppgift röjs eller utnyttjas. Allvarliga fall av offentliggörande av hemliga uppgifter kan t.ex. bestraffas som spioneri. I den mån handlandet faller under det tryckfrihets- eller yttrande- frihetsrättsliga ansvarssystemet enligt TF eller YGL gäller i stället reglerna enligt det systemet. Allvarliga fall av offentliggörande av hemliga uppgifter kan då bestraffas i enlighet med vissa av punkt- erna i brottskatalogen i 7 kap. 4 § TF respektive 5 kap. 1 § YGL, t.ex. som spioneri. Som tryck- respektive yttrandefrihetsbrott anses också dels att någon uppsåtligen offentliggör en allmän handling som inte är tillgänglig för envar om han eller hon har fått tillgång till handlingen i allmän tjänst eller i ett jämförbart förhållande, dels att någon offentliggör en uppgift och därvid uppsåtligen åsidosätter de särskilda s.k. meddelarfrihetsbrytande tystnadsplikter som anges i 16 kap. 1 § sekretesslagen, dels visst offentliggörande när riket är i krig eller omedelbar krigsfara (7 kap. 5 § TF och 5 kap. 1 § YGL). Den som omfattas av meddelarfriheten kan ådömas ansvar för vissa grova brott mot rikets säkerhet samt uppsåtligt oriktigt utlämnande av en allmän handling som inte är tillgänglig för envar (7 kap. 3 § första stycket 1 och 2 TF respektive 5 kap. 3 § första stycket 1 och 2 YGL). Ansvar kan också ådömas meddelaren för uppsåtligt åsido- sättande av tystnadsplikt, men endast i de fall som anges i 16 kap. 1 § sekretesslagen (se 7 kap. 3 § första stycket 3 TF respektive 5 kap. 3 § första stycket 3 YGL). Utöver vad som följer av reglerna om Integritetsaspekter på det frivilliga grundlagsskyddet ansvar för meddelare kan ansvar för medhjälp eller anstiftan inte ådömas när ansvarssystemet enligt TF eller YGL är tillämpligt. Beträffande namn, fotografier och andra bilder förhåller det sig så att det i svensk lagstiftning inte finns någon generell regel som anger att en persons namn eller bild inte får publiceras utan hans eller hennes medgivande. Är det fråga om reklam finns det dock särskilda regler i lagen (1978:800) om namn och bild i reklam. Enligt lagen får näringsidkare vid marknadsföring av en vara, tjänst eller annan nyttighet inte använda en framställning i vilken någon annans namn eller bild utnyttjas utan dennes samtycke. Namn och fotografier kan också utgöra personuppgifter enligt PuL och be- handlas enligt den lagen. Enligt lagen (1960:729) om upphovsrätt till litterära och konst- närliga verk, upphovsrättslagen, har upphovsmannen ensamrätt att överföra verk till allmänheten och utövande konstnärer, t.ex. skåde- spelare, har en uteslutande rätt att förfoga över sitt framförande av ett litterärt eller konstnärligt verk eller ett uttryck av folklore.