sou · H8B345 · 2020-08-20 00:00:00 — Möjligheterna i övrigt att inom tryckfrihetsförordningens och ytt- randefrihetsgrundlagens områden reglera offentliggöranden av integ- ritetskänsliga personuppgifter, som exempelvis uppgifter om brotts- lighet, är mycket begränsad. De regleringar som i första hand ska säkerställa skyddet för enskilda individers personuppgifter – dataskydds- förordningen5 och lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) – tillämpas alltså inte i den utsträckning det skulle strida mot bestämmelserna i de båda grundlagarna. Som utgångspunkt gäller således att aktörer som åtnjuter skydd enligt tryckfrihetsförordningen eller yttrandefrihetsgrundlagen inte behöver följa personuppgiftsregleringen i den mån denna inte är för- enlig med grundlagarna. Undantagsbestämmelser har emellertid in- förts för vissa offentliggöranden av s.k. känsliga personuppgifter. Den regleringen innebär i korthet att regler i vanlig lag gäller för vissa sär- skilt angivna typer av personuppgifter – bl.a. uppgifter om sexuell läggning, etnicitet och genetiska uppgifter, men även uppgifter om fackföreningstillhörighet – om det finns särskilda risker för otillbör- liga intrång i enskildas personliga integritet. I de fall undantagsbestäm- melserna är tillämpliga gäller personuppgiftsregleringen enligt data- skyddsförordningen. Något motsvarande undantag har dock inte gjorts för offentlig- göranden av uppgifter om lagöverträdelser. 11.4Skyddet för personuppgifter i och i EU:s stadga om grundläggande rättigheter Skyddet för privatlivet slås fast i artikel 8 i . Artikeln har följande lydelse. 1.Var och en har rätt till skydd för sitt privat- och familjeliv, sitt hem och sin korrespondens. 5Europaparlamentets och rådets förordning [EU] 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG. Grundlagsskyddet för vissa söktjänster 2.Offentlig myndighet får inte ingripa i denna rättighet annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till den nationella säkerheten, den allmänna säkerheten eller lan- dets ekonomiska välstånd, till förebyggande av oordning eller brott, till skydd för hälsa eller moral eller till skydd för andra personers fri- och rättigheter. Artikel 8 innebär en förpliktelse för staten att avhålla sig från in- grepp i den skyddade rättigheten. Den primära skyldigheten för sta- ten i dessa fall kan alltså beskrivas som en negativ skyldighet, dvs. att inte handla på ett visst sätt. Med artikel 8 följer dock även positiva skyldigheter. Dessa positiva skyldigheter kan bli aktuella då enskilda på olika sätt behandlar personuppgifter om andra enskilda. Frågan ur ett konventionsrättsligt perspektiv kan sägas vara om staten har en skyldighet att begränsa sådan verksamhet. Registrering av personuppgifter kan, beroende på omständighe- terna, beröra rätten till respekt för privatlivet. Det gäller särskilt om personuppgifterna rör vissa typer av känslig information, såsom tidi- gare brottslighet. I dom i målet M.M. mot diskuterade domstolen myndig- heters behandling av personuppgifter av detta slag. påpekade vikten av att ha klara och detaljerade regler om behand- lingen av sådana uppgifter samt föreskrifter om hur länge uppgifterna får lagras, hur de får användas, när andra personer kan få tillgång till uppgifterna och när de ska raderas. De rättigheter som fastställs i kommer rela- tivt ofta i konflikt med varandra. ställs då inför frågan vilken rättighet som ska väga tyngst. Ett typfall är att en enskild in- divids rätt till yttrandefrihet ställs mot en annan individs rätt till respekt för sitt privatliv. har uttalat att dessa båda rättigheter förtjänar samma respekt på ett generellt plan. Sam- tidigt måste en avvägning göras i varje enskilt fall. I en sådan situation blir uppgift att kontrollera att staterna har tagit tillräckligt stor hänsyn till båda rättigheterna. Det har då betydelse både hur den nationella lagstiftningen är utformad och hur de natio- nella domstolarna har resonerat. När två rättigheter som båda skyddas av står mot varandra på detta sätt ges staterna ofta en vid bedömningsmar- ginal. Om det på nationell nivå har gjorts en grundlig avvägning med Grundlagsskyddet för vissa söktjänster beaktande av praxis krävs det starka skäl för att ska frångå de nationella domstolarnas bedömning. har ett flertal gånger uttalat sig om denna av- vägning. Domstolen har då anfört att skyddet för yttrandefriheten och skyddet för den personliga integriteten förtjänar samma respekt och att utgången av ett fall i princip inte ska variera beroende av om klagomålet har gjorts utifrån skyddet för yttrandefrihet eller utifrån rätten till personlig integritet. Vid bedömningen har Europadom- stolen i sin praxis beaktat a)om publiceringen bidragit till en debatt av allmänt intresse, b)hur känd den person är som informationen gällt och ämnet för publiceringen, c)personens egna tidigare uppträdande, d)den metod som använts för att hämta in informationen och informationens tillförlitlighet, e)publiceringens innehåll, form och konsekvenser, samt f)hur stränga de sanktioner varit som följt på publiceringen. Listan är inte uttömmande utan måste anpassas till omständigheterna i varje enskilt fall. Dessa kriterier tillämpades i ett s.k. storkammarmål mot (dom i målet och mot ). I domen behandlade balansen mellan yttrandefrihet och respekt för privatlivet i förhål- lande till en finländsk tjänst som publicerade uppgifter om ett stort antal privatpersoners taxeringsuppgifter. Det finländska bolaget samlade in offentliga uppgifter från skattemyndigheterna och publicerade i tidningar uppgifter om över en miljon finländares beskatt- ningsuppgifter. Bolaget lämnade även uppgifterna vidare till ett annat bolag, , som gjorde uppgifterna tillgängliga för allmän- heten via en sms-tjänst. I ansvarar och Datasekretessnämn- den för skyddet av personuppgifter. ansåg att en så omfattande publicering av personuppgifter som det var fråga om stred mot den finska personuppgiftslagen, som utgjorde en imple- Grundlagsskyddet för vissa söktjänster mentering av det då gällande dataskyddsdirektivet.6 Ombudsmannen begärde därför att skulle förbjuda bolagen att publicera informationen. avslog dock be- gäran, varefter ombudsmannen klagade ändå upp till den finska . Efter att ha begärt ett förhandsavgörande från (se avsnitt 11.5.4) angående tolkningen av det då gällande dataskydds- direktivet kom den finska fram till att publiceringarna inte hade bidragit till en debatt av allmänt intresse och att bolagen inte kunde anses ha agerat uteslutande för journalistiska ändamål i den mening som avsågs i personuppgiftsregleringen. Ärendet återförvisades därför till , som för- bjöd vidare publicering. Efter att bolagen hade överklagat nämndens beslut i nationella domstolar vände de sig till och anförde att deras rätt till yttrandefrihet enligt artikel 10 i konventio- nen hade kränkts. En aspekt i målet var om de enskilda skattebetalarna kunde hävda en rätt till privatliv enligt artikel 8 i , trots att publiceringen hade rört offentliga uppgifter. fann att det förhållandet inte uteslöt skydd enligt artikel 8. De uppgifter som hade publicerats gällde detaljer om inkomster och kapitalinkomster m.m.och rörde enligt domstolen uppenbart den privata sfären. fann att förbudet mot publiceringen inte stred mot yttrandefriheten enligt artikel 10. Förbudet hade haft stöd i lag och hade syftat till att skydda enskilda personers privatliv. Den in- skränkning i yttrandefriheten som förbudet innebar var proportio- nerlig. framhöll i det sammanhanget att en sådan massdistribution av personuppgifter som det var fråga om inte kunde anses ha tjänat behovet av en allmän diskussion om enskilda perso- ners ekonomiska förhållanden. Det förhållandet att uppgifterna här- rörde från offentliga källor medförde inte per automatik att en vidare- publicering av uppgifterna bidrog till en debatt av allmänt intresse. ansåg inte att publiceringen kunde anses ha skett för rent journalistiska ändamål. 6Europaparlamentets och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. Grundlagsskyddet för vissa söktjänster 11.4.2EU:s stadga om grundläggande rättigheter EU:s stadga om de grundläggande rättigheterna innehåller, i likhet med , bestämmelser till skydd för privatlivet. Rättigheterna i EU-stadgan motsvarar också i stora delar rättighe- terna enligt , och de senare gäller som allmänna principer inom . I den mån rättigheterna i stadgan har en motsvarighet i Europa- konventionen ska de dessutom ges samma innebörd och räckvidd som enligt konventionen. Detta hindrar dock inte unionen från att tillförsäkra ett mer långtgående skydd. Bestämmelserna i stadgan riktar sig till unionens institutioner, organ och byråer samt till medlemsstaterna endast när de tillämpar unions- rätten. Av artikel 7 framgår att var och en har rätt till respekt för sitt privatliv och familjeliv, sin bostad och sina kommunikationer. Stadgan innehåller därutöver en bestämmelse som ger skydd spe- cifikt för personuppgifter. Bestämmelsen finns i artikel 8 som har följande lydelse. 1.Var och en har rätt till skydd av de personuppgifter som rör honom eller henne. 2.Dessa uppgifter ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Var och en har rätt att få tillgång till insamlade upp- gifter som rör honom eller henne och att få rättelse av dem. 3.En oberoende myndighet ska kontrollera att dessa regler efterlevs. Rättigheterna i artiklarna 7 och 8 kan begränsas i enlighet med arti- kel 52.1 som har följande lydelse: Varje begränsning i utövningen av de rättigheter och friheter som er- känns i denna stadga skall vara föreskriven i lag och förenlig med det väsentliga innehållet i dessa rättigheter och friheter. Begränsningar får, med beaktande av proportionalitetsprincipen, endast göras om de är nöd- vändiga och faktiskt svarar mot mål av allmänt samhällsintresse som er- känns av unionen eller behovet av skydd för andra människors rättigheter och friheter. Grundlagsskyddet för vissa söktjänster EU-stadgan innehåller motsvarande skydd för yttrandefriheten som . I likhet med vad som gäller enligt Europadom- stolens praxis görs ingen rangordning mellan rätten till skydd för privatliv, inkluderat skydd för personuppgifter, å ena sidan och skyddet för yttrandefriheten å den andra. Dessa rättigheter ges alltså samma tyngd på ett allmänt plan och eventuella konflikter dem emellan måste lösas genom en avvägning i enskilda fall. Som har framgått ovan har i sin praxis angett olika kriterier för hur avvägningen mellan yttrandefriheten och den personliga integriteten bör göras. har anfört att dessa kriterier är relevanta även vid tillämpningen av EU:s rättighetsstadga (dom i målet , C-345/17, punkt 65 och 66). s.k. Google Spain-domen (Google , C-131/12) ansåg att en enskild med hänsyn till dennes grundläggande rättigheter enligt artiklarna 7 och 8 i stadgan i princip har rätt att begära att sökmotorer inte längre ska visa vissa resultat vid sökning på den enskildes namn (”rätten att bli bortglömd”). Omständigheterna i målet var i korthet följande. Den spanske medborgaren invände mot att en google- sökning på hans namn visade länkar till annonser med kungörelser som avsåg tvångsförsäljning av fastigheter som hade ut- mätts hos honom. Spanska myndigheter biföll González begäran att Google skulle se till att länken till tidningen togs bort. Frågan inför var bl.a. om sökmotorleverantörer som Google omfattades av det då gällande dataskyddsdirektivet och vilket ansvar företagen i så fall hade när det gällde skyddet för en- skildas privatliv. Enligt innebar det då gällande dataskyddsdirek- tivet att sökmotorleverantören under vissa förutsättningar var skyl- dig att från sökresultat som visas vid sökning på en individs namn, avlägsna länkar till webbsidor som publicerats av tredje män och som innehåller information om denna individ. Detta gällde oavsett om uppgifterna fanns kvar på dessa webbsidor och även om tillhanda- hållandet där var lagligt. Domstolen anförde vidare följande (punkt 99). För att en sådan rätt ska anses föreligga krävs det inte att den berörda personen orsakas skada av att informationen i fråga återfinns i förteck- ningen över sökresultat. Eftersom den berörda personen, med beak- tande av dennes grundläggande rättigheter enligt artiklarna 7 och 8 i stad- gan, får begära att informationen i fråga inte längre ska göras tillgänglig Grundlagsskyddet för vissa söktjänster för den breda allmänheten genom att upptas i en sådan förteckning över sökresultat, väger dessa rättigheter i princip inte bara tyngre än sökmotor- leverantörens ekonomiska intressen, utan också tyngre än den breda allmänhetens intresse av att få tillgång till denna information vid en sök- ning på den berörda personens namn. Så är emellertid inte fallet om in- greppet i den berörda personens grundläggande rättigheter av särskilda skäl, såsom den roll den berörda personen spelar i det offentliga livet, är motiverat av den breda allmänhetens övervägande intresse av att få till- gång till informationen i fråga genom att den upptas i förteckningen över sökresultat. 11.5Skyddet för personuppgifter enligt dataskyddsförordningen och dataskyddslagen Av tilläggsdirektiven följer att kommittén ska redogöra för de regler som blir tillämpliga för det fall en undantagsbestämmelse införs för personuppgifter om lagöverträdelser. Denna redogörelse ges i detta avsnitt. Den lagstiftning som i första hand blir tillämplig för de aktörer som påverkas av en delegationsbestämmelse i tryckfrihetsförordningen och yttrandefrihetsgrundlagen är dataskyddsförordningen. Trots att dataskyddsförordningen är en förordning ges ett visst utrymme för kompletterande nationell lagstiftning. Sådan kompletterande lagstift- ning har antagits i bl.a. genom dataskyddslagen. Den lagen kompletteras i sin tur av förordningen (2018:219) med komplette- rande bestämmelser till EU:s dataskyddsförordning (kompletterings- förordningen). Dataskyddslagstiftning har funnits i . Då antogs datalagen (1973:289), den första nationella dataskyddslagstiftningen i världen. Datalagen ersattes 1998 av personuppgiftslagen (1998:204), som genomförde det EU-rättsliga dataskyddsdirektivet. Bestämmelserna i personuppgiftslagen hade till syfte att skydda människor mot att deras personliga integritet kränks genom behand- ling av personuppgifter. Personuppgiftslagen innehöll, liksom data- skyddsdirektivet, bestämmelser om bl.a. personuppgiftsansvar, grund- Grundlagsskyddet för vissa söktjänster läggande krav för behandling av personuppgifter och information till den registrerade. Vidare reglerades under vilka förutsättningar per- sonuppgifter om lagöverträdelser m.m. fick behandlas. Dataskyddsdirektivet hade genomförts på delvis olika sätt i med- lemsstaterna. Bland annat därför ersattes direktivet 2018 av dataskydds- förordningen. Avsikten var bl.a. att säkerställa en enhetlig skyddsnivå i hela unionen och därigenom ge fysiska personer i alla medlemsstater samma rättigheter och skyldigheter. Dessutom skulle övervakningen av behandling av personuppgifter bli enhetlig, sanktionerna i alla med- lemsstater bli likvärdiga och samarbetet mellan tillsynsmyndigheterna i olika medlemsstater kunna bedrivas effektivt. I samband med att dataskyddsförordningen trädde i kraft upp- hävdes personuppgiftslagen. Dataskyddsförordningens syfte är dubbelt. Avsikten är dels att skapa förutsättningar för ett fritt flöde av personuppgifter inom EU, dels att skydda fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter. Förordningen utgör en kompromiss mellan olika motstående intressen. Detta framgår av skäl 4 som har följande lydelse. Behandlingen av personuppgifter bör utformas så att den tjänar män- niskor. Rätten till skydd av personuppgifter är inte en absolut rättighet; den måste förstås utifrån sin uppgift i samhället och vägas mot andra grund- läggande rättigheter i enlighet med proportionalitetsprincipen. Denna förordning respekterar alla grundläggande rättigheter och iakttar de fri- heter och principer som erkänns i stadgan, såsom de fastställts i fördragen, särskilt skydd för privat- och familjeliv, bostad och kommunikationer, skydd av personuppgifter, tankefrihet, samvetsfrihet och religionsfri- het, yttrande- och informationsfrihet, näringsfrihet, rätten till ett effek- tivt rättsmedel och en opartisk domstol samt kulturell, religiös och språk- lig mångfald. Det kan alltså konstateras att dataskyddsförordningen inte uteslu- tande fokuserar på fysiska personers rätt till skydd för sina person- uppgifter. Andra viktiga intressen, såsom behovet av en vid yttrande- frihet, ska också tas i beaktande vid tillämpningen av förordningen. Det bör också framhållas att avvägningen mellan skyddet för en- skildas personliga integritet å ena sidan, och intresset av en stark Grundlagsskyddet för vissa söktjänster informations- och yttrandefrihet å andra, görs på delvis olika sätt i olika rättssystem. Detta gäller även inom EU. Den avvägning som måste göras mellan intresset av en vid informationsfrihet och skyd- det för personuppgifter leder därför inte nödvändigtvis till samma resultat i samtliga EU:s medlemsstater. Detta är inte i sig oförenligt med dataskyddsförordningen (se dom i målet Google, C-507/17, punkt 67). 11.5.4Tillämpningsområde och undantag för yttrandefriheten Dataskyddsförordningen är som utgångspunkt tillämplig på all helt eller delvis automatiserad behandling av personuppgifter. Dessutom gäller den för behandling av personuppgifter som ingår i eller kommer att ingå i ett register. Med personuppgifter avses alla upplysningar om en identifierad eller identifierbar person. Namn och personnummer är typiska exem- pel på personuppgifter. Men även en uppgift om ip-adress, fysiska kännetecken och liknande kan vara en personuppgift, om uppgiften kan användas för att identifiera en viss person. Med behandling av personuppgifter avses i princip all hantering av personuppgifter. Från huvudregeln att dataskyddsförordningen är tillämplig på i princip all behandling av personuppgifter görs ett antal undantag. Bland annat gäller att personuppgiftsbehandling som är helt och hållet privat, eller har samband med individers hushåll och därmed saknar koppling till yrkes- eller affärsmässig verksamhet, är undantagen från dataskyddsförordningen. Dataskyddsförordningen har getts ett relativt brett territoriellt till- lämpningsområde. Förordningen är givetvis tillämplig på behandling av personuppgifter inom ramen för verksamhet som bedrivs inom unionen. Därutöver tillämpas den i vissa situationer även på verk- samheter utanför EU. Detta är fallet om behandlingen av personupp- gifter har anknytning till unionen, bl.a. genom försäljning av tjänster till registrerade i unionen eller övervakning av deras beteende inom unionen. Grundlagsskyddet för vissa söktjänster Undantag med hänsyn till yttrandefriheten Enligt det tidigare gällande dataskyddsdirektivet förutsattes att med- lemsstaterna skulle besluta om undantag och avvikelser från delar av direktivet för behandling av personuppgifter som skedde uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande, om det var nödvändigt för att förena rätten till privatlivet med reg- lerna om yttrandefriheten. Även dataskyddsförordningen förutsätter att medlemsstaterna gör undantag med hänsyn till intresset av yttrande- och informa- tionsfriheten. Detta utvecklas i skäl 153 till dataskyddsförordningen som har följande lydelse. Medlemsstaterna bör i sin lagstiftning sammanjämka bestämmelserna om yttrandefrihet och informationsfrihet, vilket inbegriper journalis- tiska, akademiska, konstnärliga och/eller litterära uttrycksformer, med rätten till skydd av personuppgifter i enlighet med denna förordning. Behandling av personuppgifter enbart för journalistiska, akademiska, konstnärliga eller litterära ändamål bör undantas från vissa av kraven i denna förordning, så att rätten till skydd av personuppgifter vid behov kan förenas med rätten till yttrandefrihet och informationsfrihet, som följer av artikel 11 i stadgan. Detta bör särskilt gälla vid behandling av personuppgifter inom det audiovisuella området och i nyhetsarkiv och pressbibliotek. Medlemsstaterna bör därför anta lagstiftningsåtgärder som fastställer de olika undantag som behövs för att skapa en balans mellan dessa grundläggande rättigheter. Medlemsstaterna bör fastställa sådana undantag med avseende på allmänna principer, de registrerades rättigheter, personuppgiftsansvariga och personuppgiftsbiträden, över- föring av uppgifter till tredjeländer eller internationella organisationer, de oberoende tillsynsmyndigheterna, samarbete och enhetlighet samt specifika situationer där personuppgifter behandlas. Om sådana undan- tag varierar från en medlemsstat till en annan, ska den nationella rätten i den medlemsstat vars lag den personuppgiftsansvarige omfattas av till- lämpas. För att beakta vikten av rätten till yttrandefrihet i varje demo- kratiskt samhälle måste det göras en bred tolkning av vad som innefattas i denna frihet, som till exempel journalistik. Detta konkretiseras i artikel 85 som har följande lydelse. 1.Medlemsstaterna ska i lag förena rätten till integritet i enlighet med denna förordning med yttrande- och informationsfriheten, inbegripet behandling som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande. Grundlagsskyddet för vissa söktjänster 2.Medlemsstaterna ska, för behandling som sker för journalistiska ända- mål eller för akademiskt, konstnärligt eller litterärt skapande, fastställa undantag eller avvikelser från kapitel II (principer), kapitel III (den registrerades rättigheter), kapitel IV (personuppgiftsansvarig och person- uppgiftsbiträde), kapitel V (överföring av personuppgifter till tredjelän- der eller internationella organisationer), kapitel VI (oberoende tillsyns- myndigheter), kapitel VII (samarbete och enhetlighet) och kapitel IX (särskilda situationer vid behandling av personuppgifter) om dessa är nöd- vändiga för att förena rätten till integritet med yttrande- och informa- tionsfriheten. 3.Varje medlemsstat ska till kommissionen anmäla de bestämmelser i sin lagstiftning som den antagit i enlighet med punkt 2, samt utan dröjs- mål anmäla eventuell senare ändringslagstiftning eller ändringar som berör dem. I dataskyddsförordningen görs alltså undantag för behandlingar med journalistiska ändamål. Formuleringen skiljer sig något från mot- svarande undantag i direktivet som krävde att behandlingarna skedde ”uteslutande” för journalistiska ändamål. Detta har i förarbetena till dataskyddslagen ansetts innebära att utrymmet för undantag är något större enligt dataskyddsförordningen jämfört med den tidi- gare regleringen i dataskyddsdirektivet (prop. 2017/18:105 s. 41). Sam- tidigt kan noteras att har gett uttryck för att även undantaget i dataskyddsförordningen är begränsat till personupp- giftsbehandling som sker uteslutande för journalistiska ändamål (avgörande i Google, punkt 67). Det kan också nämnas att det i skäl 153 till dataskyddsförordningen hänvisas till behandling som sker ”enbart” för journalistiska ändamål. Det är således något oklart vilken betydelse den ändrade lydelsen i dataskyddsförord- ningen har. Oavsett detta står det klart att begreppet journalistiska ändamål spelar en central roll för förståelsen av dataskyddsförordningen. Begreppet har i praxis getts en vid innebörd. Det tar inte sikte enbart på etablerade massmedier eller personer som är yrkesverksamma inom sådana medier. Frågan om vem som står bakom ett yttrande är av underordnad betydelse.