sou · H8B345 · 2020-08-20 00:00:00 — Det är i stället ändamålet med själva ytt- randet som ska bedömas. Om syftet är att sprida information, åsikter eller idéer till allmänheten får normalt ett journalistiskt ändamål anses föreligga (se bl.a. avgörande i målet Satakunnan Markkinapörssi och Satamedia, C-73/07). Grundlagsskyddet för vissa söktjänster I förarbetena till dataskyddslagen intogs förhållningssättet att dataskyddsförordningen tillåter ett generellt undantag för behand- ling som sker inom tryckfrihetsförordningens och yttrandefrihets- grundlagens tillämpningsområden. Detta hade gällt även enligt per- sonuppgiftslagen. Det kan dock nämnas att Lagrådet i samband med införandet av personuppgiftslagen hade anfört att det fick anses tvek- samt om skulle acceptera att de bestämmelser i direk- tivet som införlivades genom personuppgiftslagen fick vika i vidare mån än vad som framgick av direktivets ordalydelse. I 1 kap. 7 § dataskyddslagen anges följaktligen i första stycket att dataskyddsförordningen och dataskyddslagen inte ska tillämpas i den utsträckning det skulle strida mot tryckfrihetsförordningen eller yttrandefrihetsgrundlagen. I bestämmelsens andra stycke anges vad som gäller vid personuppgiftsbehandling utanför tryckfrihetsför- ordningens och yttrandefrihetsgrundlagens områden. Där framgår att större delen av förordningen och dataskyddslagen inte ska tilläm- pas vid behandling av personuppgifter som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande. Det innebär i praktiken att endast bestämmelserna om syfte, tillämp- ningsområde, säkerhet för personuppgifter och tillsyn ska tillämpas. praxis om undantaget för journalistiska ändamål Som har framgått av avsnitt 11.4.1 har avgjort ett mål mot som rörde de finländska bolagen , som offentliggjorde taxerings- uppgifter om ett stort antal personer. Processen i föregicks av ett förhandsavgörande från angående tolkningen av det då gällande dataskyddsdirektivet (Satakunnan Markkinapörssi och Satamedia). Bolagen hade alltså med stöd av den finska offentlighetsprincipen samlat in taxeringsuppgifter om fler än en miljon individer, med det huvudsakliga ändamålet att publicera uppgifterna. Inför EU-dom- stolen var frågan bl.a. om behandlingen av personuppgifter kunde anses ha skett uteslutande för journalistiska ändamål. anförde att undantag för journalistiska ändamål inte endast ska tillämpas på medieföretag, utan på alla personer som Grundlagsskyddet för vissa söktjänster är journalistiskt verksamma. Uttryck som yttrandefrihet och jour- nalistik måste enligt domstolen tolkas brett. uttalade vidare att ett vinstsyfte inte utesluter att behandling kan ske för journalistiska ändamål. Domstolen framhöll i det sammanhanget att en viss kommersiell framgång till och med kan utgöra ett oeftergivligt villkor för att professionell journalistisk verksamhet ska bestå. I det enskilda fallet kom fram till att den bedrivna verksamheten kunde utgöra journalistisk verksamhet, om den syf- tade till att sprida information, åsikter eller idéer till allmänheten, oberoende av genom vilket medium detta skedde. Det lämnades till de finska domstolarna att avgöra om så var fallet. i kom därefter fram till att det inte rörde sig om behandling uteslutande för journalistiska ändamål. Domstolen ansåg inte att lagstiftningen kunde tolkas så att en gång publicerade personuppgifter, enbart på den grunden att de hade publicerats, därefter allmänt kunde behandlas på nytt i andra sammanhang och i andra syften utan att bestämmelserna om be- handling av personuppgifter på något sätt begränsade denna verk- samhet. Med hänsyn till förhandsavgörande ansåg att behandlingen av personuppgif- terna inte hade skett i ett sådant redaktionellt syfte som avsågs i den finska personuppgiftslagen (HFD 2009:82). dom i målet (C-345/17) rörde ett videoklipp som Buivids hade spelat in i samband med att han hade besökt en polisstation. Buivids hade därefter publicerat videoklippet, som visade poliser under tjänsteutövning, på YouTube. Den lettiska dataskyddsmyndigheten fann att Buivids hade överträtt den lettiska dataskyddslagstiftningen bl.a. genom att inte informera poliserna om syftet med behandlingen av deras personuppgifter. Buivids överklagade dataskyddsmyndighetens beslut ända upp till den lettiska högsta domstolen och åberopade rätten till yttrande- frihet. inhämtade ett förhandsavgörande från EU- domstolen för att få klarhet i bl.a. om Buivids agerande kunde utgöra behandling av personuppgifter som skett för journalistiska ändamål, i den mening som avsågs i artikel 9 i det då gällande dataskydds- direktivet. I enlighet med sin tidigare praxis anförde att de begrepp som hör samman med yttrandefriheten, däribland journa- Grundlagsskyddet för vissa söktjänster listik, ska tolkas i vid mening. Den omständigheten att Buivids inte var journalist till yrket uteslöt inte att undantagsbestämmelsen kunde vara tillämplig. Domstolen anförde i det sammanhanget att det ska beaktas att kommunikationsmöjligheterna och möjligheterna att sprida uppgifter har utvecklats och flerfaldigats. Det är inte formen eller mediet för informationsspridningen, antingen den är traditionell, som papper eller radio, eller elektronisk, som internet, som är avgörande för om behandlingen ska anses ske ”uteslutande för journalistiska ändamål” (punkt 55–57). anförde vidare att det vid bedömningen av om det aktuella videoklippet kunde omfattas av undantaget för journalistisk verksamhet kunde beaktas att videoklippet, enligt Buivids, hade offentliggjorts på en webbplats för att fästa allmänhetens uppmärk- samhet på oegentligheter från polisens sida. erinrade vidare om att de undantag och avvikelser som föreskrevs i artikel 9 i direktivet endast skulle tillämpas i den mån de visade sig vara nödvändiga för att förena skyddet för privat- livet och yttrandefriheten. För att göra en balanserad avvägning mellan dessa båda fordrades, för att skydda den grundläggande rätten till privatliv, att de undantag och begränsningar i förhållande till skyddet av uppgifter som föreskrevs i direktivet inte gick utöver gränserna för vad som är strikt nödvändigt (punkt 63 och 64). erinrade om att rättigheterna till skydd för privat- livet och yttrandefriheten i EU-stadgan ska tillskrivas samma inne- börd och ges samma räckvidd som motsvarande rättigheter i Europa- konventionen. anförde i det sammanhanget att –såvitt avser avvägningen mellan rätten till skydd för privatlivet och rätten till yttrandefrihet – utvecklat en rad relevanta kriterier som ska beaktas, bl.a. reportagets bidrag till en debatt av allmänintresse, hur känd den aktuella personen är, reportagets syfte, den aktuella per- sonens tidigare agerande, innehållet i, formen på och återverkningarna av offentliggörandet, sättet och omständigheterna då uppgifterna erhölls samt hur tillförlitliga dessa är. Vidare ska det enligt EU-dom- stolen beaktas vilka möjligheter som den registeransvarige har att vidta åtgärder för att mildra ingreppet i rätten till privatliv (punkt 66). fann mot den bakgrunden att de faktiska omstän- digheterna i målet kunde utgöra behandling av personuppgifter ute- slutande för journalistiska ändamål, om det framgick av videoklippet Grundlagsskyddet för vissa söktjänster att det enda syftet med att spela in och offentliggöra videoklippet varit att sprida information, åsikter eller idéer till allmänheten. Det ankom på den nationella domstolen att avgöra den frågan. 11.5.5Vägledande principer för all personuppgiftsbehandling Dataskyddsförordningen innehåller ett antal grundläggande principer som gäller för all behandling av personuppgifter. Dessa principer klargör bl.a. vissa allmänna förhållningsregler för personuppgifts- behandling och i vilka fall sådan behandling över huvud taget får ske. Enligt principen om laglighet måste den som behandlar person- uppgifter kunna stödja behandlingen på en bestämmelse i dataskydds- förordningen. Behandling av personuppgifter är laglig bara om a)den registrerade har gett sitt samtycke (det är den personupp- giftsansvarige som har bevisbördan för att ett samtycke finns och den registrerade kan återta det när som helst), b)behandlingen är nödvändig för att fullgöra ett avtal, c)behandlingen krävs för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige, d)behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person, e)behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning, f)behandlingen är nödvändig för ändamål som rör den personupp- giftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, sär- skilt när den registrerade är ett barn. All personuppgiftsbehandling måste vidare följa principen om korrekt- het. Vad det handlar om är att personuppgifter måste behandlas på ett skäligt eller rättvist sätt, snarare än korrekt. I den engelska språk- versionen anges att behandlingar ska vara ”fair”. Principen har alltså fått en olycklig översättning. Det kan vara oförenligt med principen att behandla en viss personuppgift om behandlingen är oskälig i för- Grundlagsskyddet för vissa söktjänster hållande till den registrerade (, Dataskyddsförordningen m.m. –en kommentar, s. 113). Innebörden av principen är att den per- sonuppgiftsansvarige inte får tillskansa sig personuppgifter genom påtryckningar och måste dessutom beakta de registrerades berätti- gade förväntningar, inte minst på basis av den information om be- handlingen som den registrerade har rätt att få del av (Frydlinger m.fl., GDPR, juridik, organisation och säkerhet enligt dataskyddsförord- ningen, s. 36 och 37). Öppenhetsprincipen innebär att personuppgifter ska behandlas på ett öppet sätt i förhållande till den registrerade. Detta innebär bl.a. att det bör vara klart och tydligt för enskilda hur personuppgifter som rör dem behandlas. All information och kommunikation i sam- band med behandling av personuppgifter måste vara lättillgänglig och lättbegriplig. Ett klart och tydligt språk ska användas. Principen innebär vidare att fysiska personer bör göras medvetna om risker, regler, skyddsåtgärder och rättigheter i samband med behandlingen av personuppgifter och om hur de kan utöva sina rättigheter enligt förordningen. Enligt principen om ändamålsbegräsning får personuppgifter bara samlas in för särskilda, uttryckligt angivna och berättigade ända- mål. Uppgifterna får inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Vid bedömningen av om en behandling är för- enlig med de ursprungliga ändamålen ska den personuppgiftsansva- rige bl.a. beakta om det finns kopplingar mellan de ursprungliga och de nya ändamålen, det sammanhang inom vilket personuppgifterna sam- lats in och eventuella konsekvenser för den registrerade. Den person- uppgiftsansvarige ska också beakta förekomsten av lämpliga skydds- åtgärder, viket kan inbegripa kryptering eller pseudonymisering. Vidare har personuppgifternas art betydelse. Detta innebär att det ska beaktas om känsliga personuppgifter eller personuppgifter om lagöverträdel- ser behandlas. Principen om uppgiftsminimering innebär att personuppgifterna ska vara adekvata, relevanta och inte för omfattande i förhållande till ändamålet med behandlingen. Behandling av personuppgifter bör en- dast ske om syftet med behandlingen inte rimligen kan uppnås genom andra medel. Personuppgifterna ska vara riktiga och om nödvändigt uppda- terade (principen om riktighet). Alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga i förhållande Grundlagsskyddet för vissa söktjänster till ändamålet för behandlingen raderas eller rättas utan dröjsmål. Den personuppgiftsansvarige har alltså en skyldighet att på eget initiativ vidta rimliga åtgärder för att radera eller rätta felaktiga upp- gifter (Törngren, Dataskyddsförordningen, Artikel 5.1 d), Lexino ). Personuppgifter får enligt principen om lagringsminimering inte förvaras i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt. Personuppgifter ska med andra ord anonymiseras eller raderas när de inte längre behövs. För att säkerställa att personuppgifter inte sparas längre än nödvän- digt bör den personuppgiftsansvarige införa tidsfrister för radering eller för regelbunden kontroll. Enligt principen om integritet och konfidentialitet ska personupp- gifter behandlas på ett säkert sätt som bl.a. ska säkra skydd mot obehö- rig eller otillåten behandling och mot förlust, förstöring eller skada. Principen om ansvarsskyldighet, slutligen, innebär att den person- uppgiftsansvarige ska ansvara för och kunna visa att de ovan nämnda principerna efterlevs. 11.5.6Behandling av känsliga personuppgifter Det är enligt dataskyddsförordningen som utgångspunkt förbjudet att behandla s.k. känsliga personuppgifter. Med det avses personupp- gifter som avslöjar ras eller etniskt ursprung, politiska åsikter eller filosofisk övertygelse och medlemskap i fackförening, genetiska upp- gifter, biometriska uppgifter för att entydigt identifiera en fysisk per- son, uppgifter om hälsa och uppgifter om en fysisk persons sexualliv eller sexuella läggning. Från förbudet att behandla känsliga person- uppgifter görs ett antal undantag, bl.a. för det fall den enskilde själv har offentliggjort uppgifterna. Om något av undantagen är tillämp- liga, och det finns en laglig grund för behandlingen, får alltså även känsliga personuppgifter behandlas. Grundlagsskyddet för vissa söktjänster 11.5.7Behandling av personuppgifter om lagöverträdelser Artikel 10 i dataskyddsförordningen handlar om behandling av per- sonuppgifter som rör lagöverträdelser. Artikeln har följande lydelse. Behandling av personuppgifter som rör fällande domar i brottmål och lag- överträdelser som innefattar brott eller därmed sammanhängande säker- hetsåtgärder enligt artikel 6.1 får endast utföras under kontroll av en myndighet eller då behandling är tillåten enligt unionsrätten eller med- lemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de regi- strerades rättigheter och friheter fastställs. Ett fullständigt register över fällande domar i brottmål får endast föras under kontroll av en myndighet. Med ”därmed sammanhängande säkerhetsåtgärder” avses straffpro- cessuella tvångsmedel. En förutsättning för att andra än myndigheter ska få behandla personuppgifter av det här slaget är alltså att det finns ett uttryckligt stöd i EU-rättslig eller nationell lagstiftning, samt att den lagstift- ningen fastställer lämpliga skyddsåtgärder för de registrerades rättig- heter och friheter. Sådan kompletterande lagstiftning har också meddelats för svensk del. Artikel 10 i dataskyddsförordningen kompletteras av 3 kap. 8 och 9 §§ dataskyddslagen. I 8 § anges att uppgifter om lagöverträ- delser får behandlas av myndigheter och även av andra än myndig- heter om det är nödvändigt för arkivändamål. Enligt 9 § första stycket gäller att regeringen eller den myndighet som regeringen bestämmer får meddela ytterligare föreskrifter om i vilka fall andra än myndig- heter får behandla personuppgifter om lagöverträdelser. Sådana föreskrifter har meddelats genom 5 § kompletteringsför- ordningen. Av den bestämmelsen framgår att andra än myndigheter får behandla uppgifter om lagöverträdelser om behandlingen är nöd- vändig för att rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras, eller en rättslig förpliktelse enligt lag eller förordning ska kunna fullgöras. Enligt 6 § samma förordning får Datainspektionen meddela ytter- ligare föreskrifter om i vilka fall andra än myndigheter får behandla personuppgifter som avses i artikel 10 i dataskyddsförordningen. Datainspektionen har i 2018:2 meddelat sådana föreskrifter. Datainspektionen får enligt 3 kap. 9 § andra stycket dataskydds- lagen även i enskilda fall besluta att andra än myndigheter får be- handla personuppgifter om lagöverträdelser. Ett sådant beslut får Grundlagsskyddet för vissa söktjänster förenas med villkor som återkallelseförbehåll, tidsbegränsningar eller krav på återrapportering samt krav på att den personuppgiftsansva- rige ska vidta vissa åtgärder till skydd för de registrerades rättigheter och friheter. Möjligheten till sådana tillstånd fanns även enligt personuppgifts- lagen. Rådande praxis var då att tillstånd skulle meddelas restriktivt (se bl.a. HFD 2016 ref. 8). I förarbetena till dataskyddslagen kon- staterade regeringen dock att dataskyddsförordningen – utöver kra- vet på lämpliga skyddsåtgärder – inte ställer upp några hinder för medlemsstaterna att i sin nationella rätt tillåta även andra än myn- digheter att behandla personuppgifter som rör lagöverträdelser. Ut- rymmet för att tillåta sådan behandling i enskilda fall ansågs därför större än vad som hade varit fallet enligt personuppgiftslagen. Data- inspektionens utrymme att avslå en begäran om tillstånd torde där- för enligt regeringen i princip vara begränsat till de fall där behand- lingen skulle vara oförenlig med dataskyddsförordningen i övrigt, i synnerhet principerna i artikel 5 och kravet på rättslig grund i artikel 6 (prop. 2017/18:105 s. 100). Motsvarande reglering i personuppgiftslagen ansågs i praxis inne- bära att även misstankar om brott omfattades av bestämmelsen. I propositionen till dataskyddslagen konstaterade regeringen dock att artikel 10 i dataskyddsförordningen har en annan utformning än motsvarande reglering i dataskyddsdirektivet och personuppgifts- lagen. Det var därför inte säkert att praxis enligt personuppgiftslagen kring vilka uppgifter som omfattas av regleringen om personupp- gifter som rör lagöverträdelser fortfarande var aktuell. I det samman- hanget pekade regeringen på att ett av de huvudsakliga syftena med dataskyddsförordningen är att åstadkomma en ytterligare harmo- nisering av dataskyddsregleringen för att undanröja hindren för det fria flödet av personuppgifter inom EU. Det var därför angeläget att artikel 10 inte tolkas på ett mer extensivt sätt i än i andra medlemsstater (a. prop. s. 99). Det kan alltså konstateras att man inte utan vidare kan utgå från att misstankar om brott omfattas av artikel 10 i dataskyddsförord- ningen. Det är en fråga som får avgöras genom praxis. Grundlagsskyddet för vissa söktjänster Rätt till information och tillgång till personuppgifter Dataskyddsförordningen ger de registrerade – dvs. de personer vars personuppgifter behandlas – rätt att få information om att deras per- sonuppgifter behandlas. I vissa fall finns dessutom en rätt att få del av uppgifterna. I förordningen görs skillnad mellan situationer när uppgifterna har samlats in från de registrerade själva respektive när uppgifterna samlats in från någon annan. Gemensamt för båda är dock att infor- mationsskyldigheten är omfattande. Information ska bl.a. lämnas om personuppgiftsbehandlingens ändamål och rättsliga grund, even- tuella mottagare som kan komma att ta del av personuppgifterna och under vilken tidsperiod uppgifterna kommer att behandlas. Om personuppgifterna har samlats in från någon annan än den registrerade själv ska information även lämnas om varifrån person- uppgifterna kommer och huruvida de har sitt ursprung i allmänt till- gängliga källor. I dataskyddsförordningen görs vissa undantag från informations- skyldigheten. Den gäller exempelvis inte om personuppgifterna har hämtats in från någon annan än den registrerade och det skulle med- föra en oproportionell ansträngning att lämna informationen. Utöver skyldigheten för personuppgiftsansvariga att självmant lämna information till de registrerade har de registrerade rätt att på eget initiativ få bekräftelse av om deras personuppgifter behandlas. Om någon form av behandling sker har den enskilde rätt till infor- mation av olika slag, såsom ändamålen med behandlingen och vilken typ av uppgifter som behandlas. Rättelse, radering och rätten att bli bortglömd Som har framgått ovan måste den som behandlar personuppgifter självmant säkerställa att de uppgifter som behandlas är korrekta. Där- utöver har de registrerade rätt att i vissa fall få sina personuppgifter raderade samt felaktiga uppgifter rättade. De registrerades rätt att i vissa situationer få sina personuppgifter raderade (”rätten att bli bortglömd”) behandlades av i målet Google (se avsnitt 11.4.2). Grundlagsskyddet för vissa söktjänster Rätten att bli bortglömd stadgas i artikel 17 i dataskyddsförord- ningen. En registrerad har rätt att utan onödigt dröjsmål få sina per- sonuppgifter raderade i följande situationer. a)Personuppgifterna är inte längre nödvändiga för de ändamål för vilka de samlats in eller på annat sätt behandlats. b)Den registrerade återkallar det samtycke på vilket behandlingen grundar sig enligt artikel 6.1 a (generellt samtycke) eller artikel 9.2 a (samtycke avseende känsliga personuppgifter) och det finns inte någon annan rättslig grund för behandlingen. c)Den registrerade invänder mot behandlingen i enlighet med arti- kel 21.1 (invändning mot behandling som grundar sig på en rätts- lig skyldighet eller intresseavvägning) och det saknas berättigade skäl för behandlingen som väger tyngre, eller den registrerade in- vänder mot behandlingen i enlighet med artikel 21.2 (invändning mot behandling av uppgifter i direktmarknadsföring). d)Personuppgifterna har behandlats på olagligt sätt. e)Personuppgifterna måste raderas för att uppfylla en rättslig för- pliktelse i unionsrätten eller i medlemsstaternas nationella rätt som den personuppgiftsansvarige omfattas av. f)Personuppgifterna har samlats in i samband med erbjudande av informationssamhällets tjänster, i de fall som avses i artikel 8.1 (behandling av personuppgifter rörande barn). Rätten att bli bortglömd är dock inte undantagslös. Undantag gäller bl.a. om det är nödvändigt för att tillgodose andra viktiga rättigheter, som till exempel rätten till yttrande- och informationsfrihet. 11.5.9Organisatoriska krav på verksamheter när personuppgifter behandlas Begreppet personuppgiftsansvarig spelar en viktig roll när det gäller ansvaret för behandling av personuppgifter. Personuppgiftsansvarig är den organisation eller i vissa fall fysiska person som bestämmer för vilka ändamål uppgifterna ska behandlas och hur behandlingen ska gå till. Den personuppgiftsansvarige kan överlåta den faktiska be- handlingen av personuppgifter men personuppgiftsansvaret i sig kan Grundlagsskyddet för vissa söktjänster Den personuppgiftsansvarige har ett generellt ansvar att genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i enlighet med data- skyddsförordningen. Det innebär bl.a. en skyldighet att ha s.k. inbyggt dataskydd och dataskydd som standard. Med inbyggt dataskydd avses att dataskydds- reglerna ska beaktas redan vid utformningen av it-system och orga- nisatoriska rutiner. Dataskydd som standard innebär att den person- uppgiftsansvarige ska säkerställa att personuppgiftsbehandling inte sker i större omfattning än nödvändigt. Personuppgiftsansvariga och personuppgiftsbiträden är skyldiga att föra ett register eller en förteckning över behandlingar av person- uppgifter. Vissa undantag gäller från denna skyldighet, men behand- ling av uppgifter om lagöverträdelser ska alltid finnas med i den per- sonuppgiftsansvariges register över behandlingar. Den personuppgiftsansvarige ska också vidta lämpliga tekniska och organisatoriska åtgärder för att garantera en lämplig säkerhets- nivå för behandlingen av personuppgifter. Om det trots detta in- träffar en säkerhetsincident som kan innebära risker för människors friheter och rättigheter, en s.k. personuppgiftsincident, måste den personuppgiftsansvarige i vissa fall anmäla detta till tillsynsmyndig- heten.