Source: http://www.notisum.se/rnp/domar/hd/HD001409.htm
Timestamp: 2017-03-28 23:32:15+00:00

Document:
Högsta domstolens referat NJA 2001 s 409 (nr 60)
Lagrum:7 § andra stycket personuppgiftslagen (1998:204); 5 § lagen (1964:163) om införande av brottsbalken; Artikel 8 och artikel 10 i Europakonventionen
Allmän åklagare väckte vid Stockholms TR åtal mot Börje R., född 1938, för brott mot datalagen (1973:289) enligt följande gärningsbeskrivning: Börje R. har under tiden februari 1997-oktober 1997 på en webbplats på Internet för en uppgiven stiftelse under namnet Stiftelsen Mot Nordbanken uppsåtligen eller av oaktsamhet inrättat eller fört personregister utan föreskrivet tillstånd av Datainspektionen.
Börje R. har även under angiven tid lagt ut personuppgifter, som ingår i personregister på Internet, utan att inhämta Datainspektionens medgivande till s.k. utlandsutlämnande i enlighet med 11 § datalagen.
TR:n (ordf. chefsrådmannen Blomquist) anförde i dom d. 14 april 1999: Domskäl. Börje R. har förnekat brott.
Åklagaren har gett en allmän bakgrund till åtalet enligt följande. Börje R. var under fler år ägare till ett stort företag. I början av 1990-talet lämnade han verksamheten. Han ansåg att andra intressenter hade manövrerat ut honom på ett otillbörligt sätt. Det hela mynnade ut i flera civilprocesser. Under 1996 inrättade Börje R. en webbplats på Internet med Stiftelsen Mot Nordbanken som avsändare. Webbplatsen innehöll uppgifter om ett flertal personer, bl.a. Håkan N. Uppgifterna var sammanställda på ett sådant sätt att det innebar att Börje R. inrättade och förde ett personregister enligt 1 § datalagen. Personregistret innehöll sådana uppgifter att det enligt 2 § 2 st. första och andra punkten datalagen inte fick inrättas utan tillstånd av Datainspektionen. Det rörde sig om uppgifter om att någon misstänks för brott (se 4 § 1 st. datalagen) och personuppgifter som utgör omdöme eller annan värderande upplysning om de registrerade (se 6 § 2 st. datalagen). I och med att uppgifterna lades ut på Internet har de lämnats ut till utlandet. Börje R. hade inte tillstånd att föra eller inrätta registret och hade inte heller medgivande enligt 11 § datalagen att lämna ut personuppgifter till utlandet. Med hänsyn till att det rörde sig om uppgifter som innebär otillbörligt intrång i personlig integritet, skulle han inte heller ha fått sådant tillstånd respektive medgivande, om han ansökt om det. I september 1997 anmälde Håkan N. till polisen att webbplatsen innehöll personuppgifter som innebar att det rörde sig om ett tillståndspliktigt personregister. Frågan behandlades också av Datainspektionen, som i ett beslut d. 20 okt. 1997 gjorde bedömningen att det rörde sig om ett tillståndspliktigt register och lämnade över handlingarna i ärendet till åklagarmyndigheten (aktbil. 18 s. 5 f.). I en bilaga till beslutet finns en utskrift av sidor från webbplatsen (aktbil. 21; s. 2-15 i aktbil. 21 är likalydande med s. 17-30 i aktbil. 18). Under den förundersökning som följde inhämtades tre yttranden från Datainspektionen (aktbil. 18 s. 7 f. och s. 9 f. samt aktbil. 20 s. 2 f.). I yttrandena kommer inspektionen fram till att uppgifter om personer hade lagts ut på webbplatsen på ett sådant sätt att det är att betrakta som personregister i datalagens mening. Justitiekanslern säger i ett yttrande till åklagarmyndigheten (aktbil. 18 s. 15 f.) att det i detta fall inte tycks röra sig om någon sådan användning av datormediet som skulle göra yttrandefrihetslagens regler tillämpliga.
Börje R. har, genom sin försvarare, angett grunderna för sin inställning enligt följande. Det är riktigt att han utan tillstånd av Datainspektionen har lagt ut uppgifter om olika personer på en av honom disponerad webbplats på Internet under den tid som anges i åtalet och att han inte hade inhämtat Datainspektionens medgivande till utlandsutlämnande. Det är också riktigt att en del uppgifter innebär att någon misstänks för brott eller utgör omdöme och värderande upplysning om personer. Men den sammanställning av uppgifter som har gjorts är inte ett personregister. Eftersom uppgifterna inte ingår i ett personregister, krävs det inte heller medgivande från Datainspektionen för att göra dem tillgängliga i utlandet. Med utlandet skall enligt 11 § 1 st. datalagen förstås stater som inte har anslutit sig till Europarådets konvention om skydd för enskilda vid automatisk databehandling av personuppgifter. Även om det skulle röra sig om uppgifter i ett personregister, har det inte, som det förutsätts i 11 § 1 st. andra meningen datalagen, funnits anledning att anta att uppgifterna skulle användas för automatisk databehandling i utlandet. Man skall vid tolkningen av de av åklagaren åberopade bestämmelserna i datalagen beakta de grundläggande regler om yttrandefrihet som följer av 2 kap. 1 § 1 st. 1, 12 §, 13 § och 23 § RF samt artikel 10 i Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna (Europakonventionen). Om TR:n ändå skulle finna att Börje R. brutit mot någon straffbestämmelse i datalagen, står den straffbestämmelsen i strid med de nyss nämnda grundläggande reglerna om yttrandefrihet och skall därför, efter vad som framgår av 11 kap. 14 § RF, inte tillämpas i målet. Skulle TR:n trots det som nu sagts finna att Börja R:s handlande är straffbart enligt datalagen, skall han ändå inte fällas till ansvar för brott, eftersom datalagen har ersatts av personuppgiftslagen utan motsvarande straffbestämmelser. Enligt 5 § lagen om införande av BrB skall nämligen, om annan lag gäller när dom meddelas än som gällde när gärningen företogs, den nya lagen tillämpas i fall då den leder till frihet från straff eller till lindrigare straff. Personuppgiftslagen trädde i kraft d. 24 okt. 1998,
då datalagen upphörde att gälla. En bestämmelse i personuppgiftslagens övergångsbestämmelser, att man i fråga om behandling av personuppgifter som påbörjats före ikraftträdandet skall tillämpa den äldre lagen i stället för den nya till och med d. 30 sept. 2001, innebär inte att man i brottmålet skall tillämpa äldre rätt. Personuppgiftslagens allmänna förbud mot behandling av personuppgifter i 49 § 1 st. a täcker inte behandling av uppgifter av den karaktär som det nu är fråga om. Det finns inte heller något krav på tillstånd från Datainspektionen för sådan behandling. Av dessa skäl kan Börje R. inte fällas till ansvar för att han inte har sökt tillstånd till sitt förfarande med webbplatsen. När det gäller den del av åtalet som avser utlandsutlämnande, finns det visserligen ett förbud mot utlämnande till tredje land i 33 § personuppgiftslagen. Med tredje land skall, enligt 3 § och 34 § 2 st. personuppgiftslagen, i sammanhanget förstås en stat som inte ingår i EU eller är ansluten till EES och inte heller har anslutit sig till Europarådets konvention om skydd för enskilda vid automatisk databehandling av personuppgifter. Men Börje R:s åtgärd att lägga ut uppgifter på Internet har skett uteslutande för journalistiska ändamål, och då skall, enligt 7 § 2 st. personuppgiftslagen, förbudet mot utlämnande till tredje land inte tillämpas. Vad som tidigare sagts om betydelsen av grundläggande regler om yttrandefrihet gäller även vid tillämpning av bestämmelserna i personuppgiftslagen.
Åklagaren har instämt i Börje R:s bedömning att den straffbestämmelse i datalagen som ligger till grund för första stycket av åklagarens gärningsbeskrivning inte har någon motsvarighet i personuppgiftslagen.
På åklagarens begäran har vittnesförhör ägt rum med datarådet Agneta Runmarker vid Datainspektionen. Båda parter har åberopat skriftlig bevisning.
Parterna är eniga om webbplatsens utformning och innehåll. Utskrifter av webbplatsens sidor ingår också i utredningen (aktbil. 18 s. 17-30 och aktbil. 21). TR:n antecknar följande uppgifter (sidhänvisningar avser aktbil. 18, om inte annat anges). På en av webbplatsens sidor, med rubriken "Välkommen!" (s. 17), anges att Stiftelsen Mot Nordbanken (SMN) är forum för bankers, finansbolags och enskilda kapitalisters skadegörelser före, under och efter bankkrisen - miljardrullningar som med sina brottsliga inslag ännu inte har nått kulmen. Där står också att SMN genom Internet skall förmedla kunskap, erfarenheter och råd för att förhindra en upprepning av denna genom tiderna största samhällsskandal i sitt slag, allt för att folk i fortsättningen skall kunna skydda sig mot de skrupelfria banker och samvetslösa nätverkskapitalister som har satt i system att roffa åt sig ytterligare makt och medel på entreprenörers, uppfinnares och samhällets bekostnad. En annan webbsida, med rubriken "SMN för rättvisa" (s. 18), innehåller argumentation riktad mot bl.a. banker och myndigheter. På webbsidan sägs att SMN har tagit Internet i sin tjänst för att få en ändring till stånd och med exempel från verkligheten redovisar hur ärliga medborgare behandlas av politiker, banker, nätverkskapitalister och domstolar. Webbsidan innehåller också en lista med länkar till rubriker till andra webbsidor, t.ex. "Skampåle". Den listan återkommer på andra webbsidor (se t.ex. s. 20 och 30). På en webbsida med rubriken "Styrelsen" (s. 19) finns uppgift om Börje R. och två andra personer, och på en anslutande sida med rubriken "Styrelsemedlemmars bakgrund" (s. 19) finns uppgifter om utbildning och yrkeserfarenhet när det gäller Börje R. och en av de andra. Det står också (s. 20) att, om du har synpunkter på stiftelsens verksamhet, styrelsen är tacksam för eventuella förslag via e-mail. Vidare finns en uppmaning att använda rutan "Kommentar" för din text och att sända ditt email via ett visst kommando. Vid rutan "Kommentarer" står det att du där skriver tankar, frågor eller svar. En webbsida med rubriken "Fallet Börje R. och System 3R International AB" (s. 21 ff) är uppdelad i 17 avsnitt med särskilda rubriker. Under rubriken "9. Styrelsen och VD, System 3R International AB" (s. 22) finns ett fotografi på sex personer och uppgift om vilka de är. På samma sätt finns under rubriken "12. Styrelsen och VD, Företagskapital AB" (s. 22 f.) fotografier på sju personer med uppgift om deras identitet. Under rubriken "13. Industrifonden" (s. 24) finns ett pressmeddelande från Näringsdepartementet med uppgift om namn och titel på tio personer som utsetts till ledamöter i Stiftelsen Industrifonden. På en webbsida med rubriken "Senaste nytt i tvisten mellan Sparbanken Sverige AB och Börje R." (s. 25) finns uppgift om elva personer som Sparbanken åberopat som vittnen.
På olika webbsidor (aktbil. 21 s. 28-33) finns uppgifter om en namngiven person vilka innebär att denne bl.a. ingått ett avtal som avslöjade ytterst grova brott mot bank- och avtalslagar, tillsammans med andra plundrat och slaktat Börje R:s företagsgrupp, i samverkan med andra satt ihop ett avtal som Börje R. tvingades underteckna under hot av konkurs, varit inblandad i skenaffärer i syfte att göra en skattebluff, utställt luftfakturor på cirka 400 000 kr, förskingrat Börje R:s tillgångar samt bestulit Börje R. på hans livsverk. På webbplatsen lämnas också ofördelaktiga uppgifter om vissa andra personer (aktbil. 21 s. 17, 33 och 40 f.). En webbsida som har rubriken "Who owns the company, patents and trademarks?" är avfattad på engelska (aktbil. 20 s. 24 ff).
Börje R. har, genom sin försvarare, till utveckling av sin talan anfört bl.a. följande. Det som lagts ut på webbplatsen måste bedömas i sitt rätta sammanhang. Man måste beakta förfarandets syfte och inriktning, nämligen att informera, debattera, polemisera och inbjuda till debatt. Informationsbehandling och åsiktsyttring är skilda företeelser. Internet är ett massmedium och innebär inte behandling av uppgifter i informationsteknisk mening. Integritetsskyddet i datalagen tar sikte på stora datasammanställningar. Det skall vara fråga om avancerad bearbetning med strukturering av uppgifter enligt olika relevanta sökkriterier. Vid tiden för lagens tillkomst fanns inte Internet. Att betrakta den nu aktuella webbplatsen som ett dataregister överensstämmer inte heller med normalt språkbruk. Webbplatsen erbjuder replikrätt, som också har utnyttjats av Nordbankens informationschef. Det har vid den prövning enligt dataskyddsregler som skall göras i målet ingen betydelse, om de uppgifter som har lagts ut på Internet är sanna, skäligt grundade eller kränkande. Presentationen av SMN:s styrelse på webbplatsen innebär bara en upplysning att personerna sitter i styrelsen. Uppgifter om styrelsemedlemmar i företag har hämtats direkt ur företagets årsredovisning. Pressmeddelandet från näringsdepartementet har överförts oförändrat till webbplatsen. I sammanhanget bör beaktas att Sveriges riksdag på sin webbplats har lagt ut uppgifter om personer på ett sätt som enligt vittnet Agneta Runmarker kan anses innefatta informationsbehandling (se aktbil. 39). När det gäller utlandsutlämnande, gäller kravet på medgivande bara om man i det enskilda fallet kan påvisa en risk för missbruk. Det har inte framkommit några omständigheter som visar att uppgifter i de i huvudsak svenska texter som det nu rör sig om skulle behandlas i någon stat som inte hade tillträtt den aktuella konventionen. Personuppgiftslagens undantag för journalistiska ändamål skall ges en extensiv tolkning. I preambeln till det direktiv från Europaparlamentet och rådet som ligger till grund för lagen hänvisas, när det gäller journalistiska ändamål, till den rätt att ta emot och lämna upplysningar som särskilt fastslås i artikel 10 i Europakonventionen (punkt 37; jfr artikel 9 i direktivet). I en förklaring av kommissionen sägs att man vid en intresseavvägning mellan rätten till privatlivet och yttrandefriheten skall beakta möjligheten till rättslig prövning eller rätten till replik. Den möjlighet till lagstadgade inskränkningar i yttrandefriheten som artikel 10 i Europakonventionen ger till skydd för annans goda namn och rykte har i svensk lagstiftning tagits till vara vid utformning av regler om ärekränkning och skall inte inverka på bedömningen av bestämmelserna i datalagen eller personuppgiftslagen. Det skulle inte vara förenligt med förbudet mot diskriminering i artikel 14 i Europakonventionen att ge journalister ett större mått av yttrandefrihet på Internet än andra användare. Uppenbarhetskriteriet i 11 kap. 14 § RF måste ges reducerad effekt vid internationella åtaganden.
Börje R. har själv lämnat bl.a. följande uppgifter: I september 1993 tog ett antal personer, däribland Håkan N., över hans företag System 3R International AB bakom ryggen på honom. Med anledning av det inledde han i början av 1995 två processer vid domstol, dels mot Håkan N. beträffande bättre rätt till patent och varumärken och dels mot Sparbanken. Han kom vid årsskiftet 1996/97 i kontakt med Ingvar A. och Mats L., som tillsammans drev Föreningen Mot Nordbanken. Alla tre hade drabbats av finanskrisen och hade insett att de enskilt hade svårt att hävda sin rätt och försvara sig gentemot bankerna. De ombildade föreningen till en stiftelse. Stiftelsen Mot Nordbanken (SMN), med syfte att informera andra om vad de varit med om. Enligt stiftelsens stadgar skall den arbeta efter principerna i yttrandefrihetsgrundlagen. Börje R. föreslog att de skulle använda Internet för att hålla kostnaden för spridandet av informationen nere. Han lade upp webbplatsen i samband med att stiftelsen bildades och har sedan dess varit ansvarig för den. Syftet med SMN:s webbplats är att informera, debattera och i viss mån provocera. Det material som finns på webbplatsen har lagts ut enbart för detta syfte. Materialet är delvis hämtat från officiella källor. Så är till exempel förteckningarna över styrelserna i Företagskapital AB och System 3R International AB hämtade från respektive bolags årsredovisning. Förteckningen över medlemmarna i Industrifondens styrelse är hämtad från Internet. En del av materialet på webbplatsen utgörs av artiklar skrivna av Mats L. Materialet rör till stor del Börje R:s eget fall. Allt material på webbplatsen syftar till att ge exempel på verkliga fall där personer har blivit lurade av banker. Allmänna synpunkter på bankernas agerande ger inte samma effekt. De historier som berättas på webbplatsen är hämtade från verkligheten och är sanna. Att webbplatsen har en aggressiv ton beror på att vad folk har varit med om till följd av bankkrisen är hemskt. Informationen på webbplatsen har fyllts på efter hand, även om det inte har lagts in så mycket nytt material på sista tiden. SMN har fått stor respons på webbplatsen. Som en följd av det skapades "klotterplanket", där missnöjda bankkunder kunde få sina klagomål utlagda. Sven Gustafsson, informationschef på Nordbanken, har på "klotterplanket" svarat på klagomålen. Styrelsen för SMN har inte lagt ut något eget material på "klotterplanket", utan information från styrelsen har lagts ut på en särskild sida. Börje R. ansåg att "skampålen" var ett passande namn eftersom de personer som finns med på listan skall skämmas för vad de har gjort. De nummer som anges efter varje person som finns med på "skampålen" är en länk till rubriken till de olika artiklar där personen omnämns. Det finns ingen koppling mellan numret och något visst stycke i den aktuella artikeln, utan när man har länkat sig fram till artikeln måste man söka igen genom att skriva namnet på den aktuella personen för att hitta var i artikeln namnet finns omnämnt. Han betraktar sökmöjligheten som en service till dem som omnämns på webbplatsen. Den möjliggör för dem att ta reda på vad som sägs om dem. Dessutom har de möjlighet att på webbplatsen bemöta kritiken. Han har inte varit i kontakt med Datainspektionen med anledning av webbplatsen, annat än när den hörde av sig efter anmälan mot honom. Att han inte tog kontakt med Datainspektionen innan webbplatsen inrättades berodde på att han inte ansåg att den var ett personregister. Han har tidigare i sin näringsverksamhet ansökt om och erhållit licens för ett personregister. Mot bakgrund av innehållet i det registret ansåg han inte att någon del av webbplatsen var ett register. Som tekniker ser han ett register som något som kräver en databas där man kan söka, bearbeta, sortera m.m. den information som finns i databasen. Exempel på register är kundregister och leverantörsregister. Internet består av information och är en envägskommunikation. Den som tar del av informationen kan visserligen kopiera den till sin egen dator men inte ändra eller på annat sätt bearbeta vad som finns på webbsidan.
Det är utrett att Börje R. har lagt ut personuppgifter på en webbplats på Internet efter vad som har beskrivits i tidigare avsnitt av domen. På webbplatsen fanns bl.a. en alfabetisk förteckning över ett flertal personer med möjlighet att genom en sökfunktion få fram mera detaljerade uppgifter om de olika personerna. Börje R. har härigenom inrättat och fört ett personregister med hjälp av automatisk databehandling. I och med att personregistret har lagts ut på Internet är det inte fråga om ett register som inrättats eller förts uteslutande för personligt bruk. Bland personuppgifterna fanns både uppgifter om att någon misstänks för brott och sådana som utgör omdöme eller annan värderande upplysning om den registrerade. För att inrätta och föra ett personregister av det slag som nu angetts var man enligt 2 § datalagen tvungen att ha tillstånd från Datainspektionen. Det hade inte Börje R. Regelbrottet har skett i vart fall av oaktsamhet. Han har vid dessa förhållanden överträtt straffbestämmelsen i 20 § 1 st. 1 datalagen. Det kan tilläggas att en ansökan om tillstånd sannolikt skulle ha lämnats utan bifall.
Uppgifterna i personregistret har, i och med att de lagts ut på Internet, kunnat läsas och lagras i utlandet. Enligt 11 § 1 st. datalagen var man tvungen att ha medgivande från Datainspektionen för att lämna ut personuppgifter, om det fanns anledning att anta att de skulle användas för automatisk databehandling i någon stat som inte anslutit sig till Europarådets konvention om skydd för enskilda vid automatisk databehandling av personuppgifter. Att tillhandahålla personuppgifter på ett sätt som gör att de enbart kan läsas i utlandet innebär enligt TR:ns mening inte att de har gjorts tillgängliga för automatisk databehandling där. Men om Internet-användare utomlands kan lagra uppgifterna på elektronisk väg- med möjlighet att ytterligare bearbeta dem - är det enligt TR:ns uppfattning fråga om att göra dem tillgängliga för sådan behandling. Fråga är då om det under den med åtalet avsedda tiden fanns anledning att anta att uppgifterna skulle komma att behandlas på detta sått. Som webbplatsens avsändare angavs Stiftelsen Mot Nordbanken, samtidigt som det på framträdande plats på webbplatsen lämnades negativa uppgifter om denna bank. Uppgifter av detta slag är typiskt sett av beskaffenhet att väcka intresse hos personer med anknytning till eller intresse för bankvärlden. Det berättigar till antagandet att uppgifterna skulle komma att lagras av Internet-användare utomlands. Till de stater som vid den med åtalet avsedda tiden stod utanför den aktuella konventionen hör inte bara utomeuropeiska länder, t.ex. USA och Japan, utan också flera länder i Europa, t.ex. Schweiz och Liechtenstein. Det som nu sagts leder till slutsatsen att Börje R. har åsidosatt kravet på medgivande för utlandsutlämning. Åsidosättandet har skett i vart fall av oaktsamhet. Han har genom sitt förfarande överträtt straffbestämmelsen i 20 § 1 st. 3 datalagen. I sammanhanget kan tilläggas att han, om han hade ansökt om medgivande, med största sannolikhet inte hade fått det.
Naturligtvis har TR:n vid den bedömning som nu har gjorts beaktat de regler om fri- och rättigheter som finns i våra grundlagar och Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna. TR:n har med andra ord inte godtagit Börje R:s invändningar om att regler om yttrandefrihet skulle föranleda en annan tolkning av datalagens bestämmelser än den som nu gjorts eller att dessa bestämmelser skulle stå i uppenbar strid mot någon bestämmelse i grundlag och därför åsidosättas.
Börje R. skall dömas till ett bötesstraff.
Domslut. TR:n dömde Börje R. enligt 20 § 1 st. 1 och 3 datalagen för brott mot datalagen till 50 dagsböter å 250 kr.
Börje R. överklagade i Svea HovR och yrkade att åtalet skulle ogillas. Åklagaren bestred ändring.
HovR:n (hovrättslagmannen Eklycke, hovrättsrådet Hesser, referent, och hovrättsassessorn Trost) anförde i dom d. 21 dec. 1999: Utredningen i HovR:n. Börje R. har hörts på nytt. Han har i samband härmed med hjälp av projektor visat delar av de sidor som förekommit på den webbplats som det är frågan om i målet. Vidare har förnyat vittnesförhör ägt rum med Agneta Runmarker. Den vid TR:n upptagna skriftliga bevisningen har åberopats även här. Börje R. har vidare åberopat ett av docenten i straffrätt vid Uppsala universitet Petter Asp avgivet utlåtande rörande tillämplig lag i målet.
Börje R. har i HovR:n i huvudsak angett samma inställning till åtalet som i TR:n. Sammanfattningsvis innebär hans inställning, som HovR:n uppfattat honom, följande.
2. För det fall att HovR:n skulle finna att det är fråga om ett personregister skall åtalet ogillas, såvitt gäller förfarandet enligt första stycket i gärningsbeskrivningen, på den grunden att personregistret inte omfattat några uppgifter av i 4 § eller 6 § datalagen angivet slag, varför personregistret inte krävt tillstånd av Datainspektionen.
4. För det fall att HovR:n inte skulle finna att ovannämnda rekvisit i datalagen brister, uppkommer frågan vilken lag som är tillämplig i målet. Börje R. har - med stöd av det åberopade rättsutlåtandet - hävdat att det är personuppgiftslagen, vilken trädde i kraft d. 24 okt. 1998 och då ersatte datalagen, som skall tillämpas på de förfaranden som åtalet avser.
Skulle HovR:n finna att personuppgiftslagen är tillämplig gäller enligt Börje R. till en början att hans förfarande enligt första stycket i gärningsbeskrivningen inte är straffbelagt enligt denna lag. Vad gäller åtalet i återstående del har Börje R. hävdat att de personuppgifter som åtalet avser inte är av det slaget att de omfattas av personuppgiftslagen, varför åtalet på denna grund skall ogillas. Skulle HovR:n inte godta denna invändning har han hävdat att hans åtgärd att lägga ut de ifrågavarande personuppgifterna uteslutande skett för journalistiska ändamål, varför åtalet till följd av bestämmelsen i 7 § 2 st. personuppgiftslagen skall ogillas.
5. Börje R. har slutligen hävdat att åtalet, oavsett om datalagens eller personuppgiftslagens straffbestämmelser anses tillämpliga, skall ogillas då dessa bestämmelser inte harmonierar med reglerna om yttrande- och informationsfrihet i 2 kap. RF och artikel 10 i Europakonventionen.
HovR:ns nedan angivna prövning av åtalet sker i anslutning till de av Börje R. framförda invändningarna mot detta.
Börje R. har hävdat att det material som lagts ut på den ifrågavarande webbplatsen på Internet inte bildat ett personregister. Att det varit möjligt att i fråga om personerna i den alfabetiska förteckningen under rubriken 'vid skampålen" via länkar och en sökfunktion ur material - såsom av honom författade artiklar, tidningsartiklar, utdrag ur rättegångsskrifter m.m. - som utlagts på webbplatsen kunna inhämta olika enstaka uppgifter hänförliga till dessa personer innebär enligt Börje R. inte att härigenom uppkommit ett personregister i datalagens mening. Han har gjort gällande att härför har krävts att det med hjälp av automatisk databehandling varit möjligt att bl.a. systematisera, sortera och bearbeta personuppgifterna i fråga. Han har tillagt att för det fall att uppgifterna på webbplatsen skulle anses bilda ett personregister innebär det att hela Internet är att betrakta som ett jättelikt personregister.
Agneta Runmarker har i denna del uppgivit bl.a. följande. Med ett personregister menas till en början vad som klassiskt betecknar ett register, således ett register över människor och uppgifter om dessa. Till ett personregister kan emellertid också hänföras uppgifter i löpande text, i den mån dessa uppgifter är hänförliga till viss person. Det skall emellertid vara fråga om informationsbehandling av personuppgifter. För bedömningen av denna fråga kan bl.a. vara av intresse under hur lång tid uppgifterna varit tillgängliga. Det är inte en förutsättning för att ett personregister skall föreligga att uppgifterna i en löpande text skall kunna bearbetas, sorteras osv. med hjälp av automatisk databehandling. Det är till och med så att alla personuppgifter i ett personregister inte behöver ha förts med hjälp av automatisk databehandling. Även manuellt förda personuppgifter kopplade till ADB-förda uppgifter kan - beroende på ändamålet - anses hänförliga till ett personregister i datalagens mening.
Av, utredningen framgår att det med hjälp av de länkar som funnits angivna till namnen i den alfabetiska personförteckningen varit möjligt att inhämta ytterligare uppgifter om dessa personer i det material i form av artiklar m.m. som var utlagt på Stiftelsens webbplats. Att det inte varit möjligt att systematisera och bearbeta uppgifterna på sätt Börje R. angivit medför inte att materialet därigenom inte skulle kunna ingå i ett personregister i datalagens mening. Mot bakgrund av att det - enligt vad Börje R. själv uppgivit - varit ett syfte med personförteckningen och därtill hörande länkar att lämna information om personerna i fråga och till att materialet varit utlagt på webbplats under en längre tid är uppenbart att den alfabetiska förteckningen och det material som kunnat nås via länkarna tillsammans bildat ett personregister. Att materialet varit utlagt på Internet saknar varje betydelse för prövningen av frågan om det förelegat ett personregister i datalagens mening. Däremot får detta betydelse i ett annat hänseende. Genom att materialet lagts ut på Internet står det klart att fråga inte är om ett personregister som inrättats eller förts uteslutande för personligt bruk (jfr 2 § 3 st. datalagen). Huruvida till personregistret även varit att hänföra de ytterligare uppgifterna på webbplatsen, som inte kunnat nås via de ifrågavarande länkarna, finner HovR:n inte nödvändigt att ta ställning till.
Börje R. överträtt straffbestämmelsen i 20 § 1 st. 1 datalagen, vilket regelbrott i vart fall skett av oaktsamhet.
Genom att lägga ut personuppgifterna i fråga på Internet har det blivit möjligt att nå dessa från de flesta länder i världen. HovR:n delar TR:ns bedömning att uppgifterna blir tillgängliga för automatisk databehandling, om Internetanvändare utomlands kan lagra uppgifterna på elektronisk väg, med möjlighet att ytterligare bearbeta dessa. Det är självfallet svårt att närmare uttala sig om vilket intresse det funnits att utomlands ta del av och lagra uppgifterna, varav merparten var avfattade på svenska. Även om detta intresse sannolikt varit ringa anser HovR:n att det med hänsyn till webbplatsens utformning, som måste uppfattas som professionell, och till att det på framträdande plats lämnades negativa uppgifter om en stor svensk bank fanns anledning att anta att uppgifterna skulle komma att lagras av Internetanvändare i sådana utländska stater som det är fråga om. Med hänsyn till detta har det krävts medgivande för s.k. utlandsutlämning från Datainspektionen. Det anförda innebär att Börje R. i och med att uppgifterna i fråga lagts ut på Internet - i varje fall av oaktsamhet - överträtt bestämmelsen i 20 § 1 st. 3 p. datalagen.
Som framgår av TR:ns dom fann TR:n, efter att ha konstaterat att åtalet avsåg tiden februari-oktober 1997 under vilken tid datalagen gällde, att det av den angivna övergångsbestämmelsen följde att datalagen var tillämplig, eftersom i målet var fråga om behandling av personuppgifter som påbörjats före ikraftträdandet av personuppgiftslagen d. 24 okt. 1998. Vid angivet förhållande kom därför TR:n inte in på frågan om en tillämpning av personuppgiftslagen i stället för datalagen skulle ha lett till en mildare straffrättslig bedömning av Börje R:s förfaranden.
I det åberopade utlåtandet av docenten Petter Asp hävdas att övergångsbestämmelsen inte är avsedd att tillämpas på ett fall som det förevarande, att det, trots att Börje R:s handlande faller in under bestämmelsens ordalydelse, finns skäl för att avstå från att tillämpa bestämmelsen, att prövningen i stället skall ske utifrån den allmänna regeln i 5 § 2 st. lagen (1964:163) om införande av BrB (BrP), dvs. enligt den lindrigaste lagens princip, samt att denna prövning leder till att Börje R:s handlande skall bedömas utifrån personuppgiftslagens bestämmelser. HovR:n får anföra följande.
I nu förevarande fall står klart att skälet till att vissa gärningar som var straffbara enligt datalagen är straffria enligt personuppgiftslagen eller där belagda med lindrigare straff inte är att de yttre förhållandena förändrats utan att det utvecklats en delvis förändrad syn på vad som är straffbart och bör kontrolleras med straffhot. Redan på grund härav uppkommer tveksamhet om övergångsbestämmelsens tillämpning såvitt nu är i fråga. Till detta kommer emellertid följande. Syftet med övergångsbestämmelsen har varit att ge personer som för dataregister tid att anpassa sina register till det nya och mer omfattande regelverk som personuppgiftslagen innehåller. Att övergångsbestämmelsen efter sin ordalydelse - i bestämmelsen anges att den gäller i fråga om behandling av personuppgifter som påbörjats före ikraftträdandet - över huvud taget kommit att omfatta Börje R:s hantering, som upphört redan i oktober 1997 (genom att han då avlägsnade uppgifterna i det aktuella personregistret), framstår som Asp närmare utvecklat i sitt utlåtande (s. 6 f.) som ett rent lagtekniskt förbiseende. Avsikten med övergångsbestämmelsen har nämligen uppenbarligen varit att den endast skall gälla i fråga om behandling av personuppgifter som pågår vid ikraftträdandet.
Vad först gäller åtalet enligt första stycket i gärningsbeskrivningen, dvs. att Börje R. utan tillstånd inrättat eller fört personregister och därigenom överträtt straffbestämmelsen i 20 § 1 st. 1 datalagen, kan omedelbart konstateras att personuppgiftslagen inte innehåller någon motsvarande straffbestämmelse. Åtalet i denna del, bedömt enligt sistnämnda lag, skall således ogillas.
Åtalet i återstående del avser att Börje R. lämnat ut personuppgifter i strid mot II § datalagen (otillåtet s.k. utlandsutlämnande). HovR:n har i det föregående funnit att Börje R. i denna del, i vart fall av oaktsamhet, överträtt den bestämmelse i datalagen som straffbelägger angivna förfarande, dvs. 20 § 1 st. 3 datalagen.
Börje R. har hävdat att en prövning enligt personuppgiftslagens regler, såvitt nu är i fråga, leder till att åtalet skall ogillas, i första hand på den grunden att personuppgifterna inte varit av det slaget att de omfattas av lagen och i andra hand på den grunden att hans åtgärd att lägga ut de ifrågavarande personuppgifterna uteslutande skett för journalistiskt ändamål, varför åtalet till följd av bestämmelsen i 7 § 2 st. personuppgiftslagen skall ogillas. Han har tillagt att den omständigheten att han inte är journalist inte får innebära att en annan måttstock tillämpas än den som gäller för journalister och han har därvid åberopat bestämmelsen i artikel 14 i Europakonventionen om förbud mot diskriminering.
Börje R. har hävdat att syftet med webbplatsen var att informera, granska, kritisera och provocera samt att ge dem som provocerades möjlighet att försvara sig. Enligt Börje R. gällde detta syfte i fråga om allt det material som fanns på webbplatsen. För HovR:n står det emellertid klart att syftet, även om det delvis varit det nyss angivna, också varit att sprida kännedom om de nedvärderande personuppgifter som det är fråga om i målet. HovR:n finner därför att den åberopade undantagsbestämmelsen inte här är tillämplig, vilken bedömning inte påverkas av vad som föreskrivs i artikel 14 i Europakonventionen.
HovR:n övergår härefter till att jämföra de båda lagarnas straffbestämmelser såvitt nu är i fråga. Enligt 20 § 1 st. 1 datalagen döms den som uppsåtligen eller av oaktsamhet gjort sig skyldig till otillåtet utlandsutlämnande av personuppgifter till böter eller fängelse i högst ett år. Personuppgiftslagen innehåller i 49 § 1 st. c en motsvarande straffbestämmelse. Enligt denna döms den som uppsåtligen eller av oaktsamhet för över personuppgifter till tredje land i strid med på annat håll i personuppgiftslagen intagna bestämmelser om utlandsutlämning till böter eller fängelse i högst sex månader eller, om brottet är grovt, till fängelse i högst två år. Då det är uppenbart att Börje R:s handlande inte är att bedöma som grovt brott är den tillämpliga straffskalan i personuppgiftslagen i förevarande fall den som stadgar böter eller fängelse i högst sex månader, således en mildare straffskala än den nyss angivna i datalagen. Mot angiven bakgrund får lagföring enligt personuppgiftslagen anses leda till ett lindrigare straff än vid en lagföring enligt datalagens motsvarande straffbestämmelse.
5. Frågan om inverkan på åtalet av regler om yttrande- och informationsfrihet. Börje R. har hävdat att åtalet, oavsett om datalagens eller personuppgiftslagens straffbestämmelser anses tillämpliga, skall ogillas då dessa bestämmelser inte harmonierar med reglerna om yttrande- och informationsfrihet i RF och artikel 10 i Europakonventionen.
HovR:n får anföra följande. De fri- och rättigheter som Börje R. tar upp får enligt 2 kap. 13 § RF begränsas med hänsyn till bl.a. "enskilds anseende" och "privatlivets helgd". I 3 § i samma kapitel anges att varje medborgare skall i den utsträckning som närmare anges i lag skyddas mot att hans personliga integritet kränks genom att uppgifter om honom registreras med hjälp av automatisk databehandling. Enligt artikel 10 i Europakonventionen har var och en yttrandefrihet, som dock får begränsas bl.a. med hänsyn till "annans goda namn och rykte". HovR:n finner att de angivna bestämmelserna ger stöd för de inskränkningar av ovan angivna friheter som skett genom datalagen och personuppgiftslagen. HovR:n får i denna del vidare hänvisa till TR:ns bedömning.
HovR:ns ovan redovisade ställningstaganden innebär att åtalet enligt första stycket i gärningsbeskrivningen (inrättande eller förande av personuppgifter utan tillstånd) skall ogillas samt att Börje R. skall dömas enligt andra stycket i gärningsbeskrivningen för överträdelse av 49 § 1 st. c personuppgiftslagen (otillåtet överförande av personuppgift till utlandet). Påföljden skall bestämmas till ett lågt bötesstraff.
1. Med ändring av TR:ns dom dömer HovR:n Börje R. för brott mot personuppgiftslagen enligt 49 § 1 st. c personuppgiftslagen (1998:204) till dagsböter 30 å 250 kr. ---.
Börje R. (offentlig försvarare advokaten Percy Bratt) överklagade och yrkade att HD skulle ogilla åtalet.
Riksåklagaren bestred ändring och justerade i HD gärningsbeskrivningen enligt följande: Börje R. har under tiden februari 1997-oktober 1997 på Internet lagt ut såväl integritetskränkande som andra personuppgifter utan att i enlighet med datalagen inhämta Datainspektionens medgivande till utlandsutlämnande. Genom sitt förfarande har Börje R. fört över personuppgifter till tredje land, där de kunnat behandlas.
Målet avgjordes efter huvudförhandling (Riksåklagaren genom överåklagaren Gunnel Lindberg).
HD (JustR:n Lars K. Beckman, Nyström, referent, Svensson, Victor och Håstad) beslöt följande dom: Domskäl. Börje R. har under namnet Stiftelsen Mot Nordbanken (SMN) inrättat en webbplats på Internet på vilken han publicerat ett antal personuppgifter. Under rubriken Välkommen har angetts att SMN är ett "forum för belysning av bankers, finansbolags och enskilda kapitalisters skadegörelse före, under och efter bankkrisen. Miljardrullningar som med sitt brottsliga inslag ännu inte nått sin kulmen. SMN ska genom Internet förmedla kunskap, erfarenheter och råd för att förhindra en upprepning av denna genom tiderna största svenska samhällsskandal i sitt slag. Allt för att folk skall kunna skydda sig mot skrupelfria banker och samvetslösa nätverkskapitalister som har satt i system att roffa åt sig ytterligare makt och medel på entreprenörers, uppfinnares och samhällets bekostnad". Angående webbsidan och dess innehåll i övrigt hänvisas till redogörelsen i TR:ns dom.
Målet i HD gäller endast huruvida Börje R. genom publiceringen på webbsidan gjort sig skyldig till straffbar överföring av personuppgifter till utlandet.
Förändringarna av straffansvaret för utlandsutlämnande i personuppgiftslagen har uppenbarligen inte sin bakgrund i att några särskilda förhållanden skulle ha rått under den tid som datalagen gällde. När det gäller frågan om den till personuppgiftslagen meddelade övergångsbestämmelsen kan anses innebära att datalagens straffbestämmelse, i strid mot huvudregeln i BrB:s promulgationslag, ändå skall anses exklusivt tillämplig på det åtalade förfarandet delar HD den bedömning som HovR:n redovisat under rubriken Tillämplig lag. Detta innebär att Börje R. skall fällas till ansvar enligt åtalet endast om förfarandet är straffbart såväl enligt datalagen som enligt personuppgiftslagen i sin ursprungliga och i sin ändrade lydelse.
Omfattningen av straffansvaret för utlandsutlämnande är i flera hänseenden oklar oavsett vilken lagstiftning som läggs till grund för tillämpningen. En av de invändningar som Börje R. riktat mot åtalet är att förfarandet skett uteslutande för journalistiska ändamål och därför under alla förhållanden är undantaget från straffansvar enligt bestämmelsen i 7 § 2 st. personuppgiftslagen. HD väljer att inledningsvis pröva denna invändning.
Det syfte för webbsidan som angetts på denna och som Börje R. utvecklat i målet måste mot den angivna bakgrunden anses ligga väl inom ramen för ett journalistiskt ändamål att informera, utöva kritik och väcka debatt om samhällsfrågor av betydelse för allmänheten. I vad mån sedan webbsidan kan anses motsvara godtagbar standard enligt de kriterier som man brukar använda när man värderar etablerad journalistisk verksamhet saknar i sig betydelse för bedömningen.
Börje R. får anses ha gjort gällande att alla personuppgifter på webbsidan omfattas av journalistiska ändamål. Under sådana förhållanden ankommer det i princip på åklagaren att åberopa och visa att det föreligger sådana omständigheter som gör att denna invändning mot ansvar framstår som obefogad (jfr NJA 2000 s. 355 och a. prop. s. 119). Vad åklagaren kan anses ha åberopat i denna del är att uppgifterna varit kränkande.
Då det i målet inte framförts någon annan omständighet som skulle kunna göra att vissa av personuppgifterna inte omfattades av journalistiska ändamål skall Börje R:s invändning i den delen godtas.
För att webbsidan skall vara undantagen från straffansvar enligt 7 § 2 st. personuppgiftslagen krävs emellertid härutöver att behandlingen på webbsidan skett "uteslutande" för journalistiska ändamål. Åklagaren får anses ha gjort gällande att Börje R. haft till syfte att sprida kränkande eller nedvärderande personuppgifter och att behandlingen av dessa uppgifter med hänsyn härtill i vart fall inte skett uteslutande för journalistiska ändamål.
HD, som mot bakgrund av vad som anförts inte bedömt det som nödvändigt att inhämta något förhandsavgörande från EG-domstolen, finner sammanfattningsvis - vid tillämpning av 7 § 2 st. i den svenska personuppgiftslagen - att det inte är visat annat i målet än att Börje R:s behandling av personuppgifter på den aktuella webbsidan skett uteslutande för journalistiska ändamål. Han skall därför inte dömas till ansvar för den åtalade gärningen. Vid den bedömningen saknar HD anledning att pröva i vad mån det även på annan grund skulle kunna finnas skäl att ogilla åtalet.
Avgörandedatum: 2001-06-12
B293-00 Detta är ett utdrag ur databasen Rättsnätet. Mångfaldigande utan medgivande från Notisum AB är förbjudet enligt lag. Dokumentens officiella pappersutgåvor äger alltid företräde eftersom Rättsnätet baseras på material från offentliga databaser som kan innehålla felaktigheter.

References: § 2
 § 1
 § 2
 § 1
 § 1
 § 1
 § 1
 § 2
 § 2
 § 1
 § 1
 § 1
 § 1
 § 2
 § 3
 § 1
 § 1
 § 2
 § 1
 § 1
 § 2
 § 1
 § 1
 § 1
 § 1
 HD 
 HD 

HD 
 HD 
 HD 
 § 2
 HD 
 § 2
 § 2
 HD