Source: http://www.juridicum.su.se/iri/docs/Ny_HD-dom_om_k%C3%A4nsliga_personuppgifter_p%C3%A5_webbsida/
Timestamp: 2016-09-27 13:46:54+00:00

Document:
Institutet f�r R�ttsinformatik - Daniel Westman - Ny HD-dom om k�nsliga personuppgifter p� webbsida
Institutet f�r r�ttsinformatik
Om IRI
Vad �r r�ttsinformatik?
IRI:s organisation
Nordisk �rsbok
IRI-rapporter
Uppsatser: grundutbildning
Uppsatser: magisterutbildning
�vriga publikationer
�vriga projekt
F�reningar m.m.
N�tverk m.m.
Magisterutbildningen
TEL 08-16 23 01
FAX 08-612 90 72
S�k IRIs webbsidor:
Ny HD-dom om k�nsliga personuppgifter p� webbsida
Ur Lov&Data nr 83 september 2005, s. 30-32.
Uppgifterna om att en namngiven person haft samarbetssv�righeter och d�refter blivit sjukskriven har sedda tillsammans ansetts utg�ra en uppgift om h�lsa i personuppgiftslagens mening. Att publicera dessa uppgifter i ett brev p� en webbsida utgjorde en �vertr�delse av f�rbudet att behandla k�nsliga personuppgifter som inte kunde anses vara ringa<
(NJA 2005 s 361, H�gsta domstolens dom den 26 maj 2005, m�l nr B 3042-03).
I svensk r�tt finns ingen generell straffsanktionerad regel som f�rbjuder kr�nkning av den personliga integriteten. N�r det g�ller kr�nkningar som sker genom att uppgifter om en identifierbar person kommuniceras till andra personer kan f�rtalsbrottet ge ett visst skydd. F�rtalsbrottet skyddar emellertid inte mot att varje uppgift av privat eller k�nslig natur kommuniceras utan en persons samtycke. Uppgiftens karakt�r skall vara s�dan att den �r �gnad att uts�tta personen f�r andras missaktning. F�rtalsbrottet �r vidare i sig utformat s� att en avv�gning i varje fall skall g�ras mellan integritetsintresset och yttrandefrihetsintresset. �r det med h�nsyn till uppgifterna f�rsvarligt att l�mna uppgifterna och om dessa antingen �r sanna eller det fanns sk�lig grund f�r dem s� �r det inte fr�ga om straffbart f�rtal. Det finns en relativt omfattande praxis kring denna bed�mning.
Om samma uppgifter kommuniceras i ett s�dant medium att personuppgiftslagstiftningen blir till�mplig, t.ex. via Internet, kan integritetsskyddet bli starkare p� bekostnad av yttrandefriheten. Personuppgiftslagstiftningen inneb�r som bekant att ett antal hanteringsregler m�ste f�ljas f�r att behandlingen av personuppgifter skall vara till�ten. Vissa hanteringsregler, t.ex. f�rbudet mot att behandla s.k. k�nsliga personuppgifter utan samtycke fr�n den som uppgifterna avser, �r straffsanktionerade och kan d�rmed komma att fungera som ett generellt f�rbud mot att kommunicera vissa typer av privata eller k�nsliga uppgifter i en digital milj�. Inom personuppgiftslagstiftningen s�kerst�lls skyddet f�r yttrandefriheten i f�rsta hand genom vissa undantagsregler som anger att personuppgiftslagens hanteringsprinciper inte skall till�mpas p� viss behandling, t.ex. behandling som sker f�r uteslutande journalistiska �ndam�l. Yttrandefrihetsintresset kan emellertid �ven beaktas i samband med de avv�gningar som g�rs vid till�mpningen av hanteringsreglerna och, som illustreras i den nedan refererade domen, vid bed�mningen av om en �vertr�delse av lagen skall anses vara ringa och d�rmed straffri. Sammantaget inneb�r denna reglering en mer begr�nsad m�jlighet att kommuniceras uppgifter om andra personer i en digital milj�.
Det aktuella m�let g�llde �tal f�r brott mot personuppgiftslagens f�rbud mot �verf�ring av personuppgifter till tredje land samt f�rbud mot att behandla k�nsliga personuppgifter. D�rut�ver aktualiserades fr�gan om en eventuell �vertr�delse av lagen kunde anses som ringa och d�rmed straffri enligt 49 � andra stycket. Sedan processen i m�let inleddes har EG-domstolen hunnit komma med sin dom i m�l C-101/01 (se Lov&Data nr 77, s. 21�27) d�r dataskyddsdirektivets regler om bl.a. �verf�ring till tredje land och behandling av k�nsliga personuppgifter tolkas. Den principiellt mest intressanta fr�gan i detta m�l blev d�rf�r fr�gan om en eventuell �vertr�delse skulle betraktas som ringa. Ett justitier�d var ocks� skiljaktig i denna fr�ga och f�rde ett principiellt intressant resonemang som anknyter till vad som sagts ovan om integritetsskyddet i olika tekniska milj�er och till diskussionen om ett missbruksinriktat skydd f�r personuppgifter som inte strukturerats f�r s�kning och sammanst�llning (jfr f�rslagen i SOU 2004:6 som refererats i Lov&Data nr 78, s. 4). Bakgrund
Ordf�randen f�r en stiftelse som driver en internatskola l�t p� skolans webbplats publicera ett brev som i f�rsta hand var riktat till f�r�ldrar till barn p� skolan. Brevet inneh�ll vissa uppgifter om en person som arbetat som s.k. husfar p� skolan, bl.a. angavs att denna person p� grund av samarbetssv�righeter med elever och f�r�ldrar omplacerats till ett annat elevhem och att han sedan n�gon vecka tillbaka var sjukskriven. Uppgifterna var tillg�ngliga p� webbplatsen i vart fall under en knapp m�nad.
Ordf�randen �talades enligt 49 � personuppgiftslagen (1998:204), dels f�r att �verf�rt uppgifterna i strid med 33�35 �� personuppgiftslagen och dels f�r att ha behandlat s.k. k�nsliga personuppgifter ang�ende h�lsa i strid med 13 � samma lag.
H�gsta domstolens dom (majoriteten)
Domstolen konstaterade inledningsvis att personuppgiftslagen tillkommit till genomf�randet av Europaparlamentets och r�dets direktiv 95/46/EG av den 24 oktober 1995 om skydd f�r enskilda personer med avseende p� behandling av personuppgifter och om det fria fl�det av s�dana uppgifter (dataskyddsdirektivet) och att lagen i sina grundl�ggande delar skall tolkas och till�mpas i �verensst�mmelse med detta direktiv.
N�r det g�llde fr�gan om �verf�ring av personuppgifter till tredje land fann H�gsta domstolen att inga omst�ndigheter framf�rts som skulle g�ra att den aktuella publiceringen av personuppgifter p� Internet inte omfattades av EG-domstolens tolkning i m�l C-101/01. Denna tolkning innebar att det inte sker n�gon ��verf�ring av � uppgifter till tredje land� i den mening som avses i dataskyddsdirektivet n�r en person som befinner sig i en medlemsstat l�gger ut personuppgifter p� en webbsida p� Internet och den som tillhandah�ller servertj�nsten �r etablerad i samma medlemsstat eller i en annan medlemsstat, oberoende av om uppgifterna blir �tkomliga f�r alla som kopplar upp sig p� Internet, inklusive personer i tredje land. �talet f�r otill�ten �verf�ring till tredje land ogillades d�rf�r.
Vad betr�ffade fr�gan om behandling av personuppgifter ang�ende h�lsa h�nvisade H�gsta domstolen �terigen till EG-domstolens dom i m�l C-101/01. I denna dom fastslog EG-domstolen att en uppgift om att en person skadat sin fot och var deltidssjukskriven utgjorde en personuppgift om h�lsa i den mening som avs�gs i artikel 8.1 i direktivet. H�gsta domstolen ans�g att det f�r en l�sare av det brev som var aktuellt i det f�revarande m�let rimligen m�ste ha framst�tt som om uppgiften om samarbetssv�righeterna hade ett samband med uppgiften om sjukskrivningen. Domstolen menade d�rf�r att uppgifterna m�ste bed�mas tillsammans och att de sammantaget fick anses r�ra h�lsa. Genom att l�gga ut dessa uppgifter p� en webbsida behandlades s�lunda k�nsliga personuppgifter. Eftersom den registrerade f�rst i efterhand l�mnat sitt samtycke till publiceringen ans�gs behandlingen ha skett i strid med 13 � personuppgiftslagen.
H�gsta domstolen pr�vade d�refter om �vertr�delsen av lagen skulle anses vara ringa och d�rmed straffri enligt 49 � andra stycket. Domstolen h�nvisade inledningsvis till ett uttalande i f�rfattningskommentaren i propositionen (prop. 1999/2000:11 s. 21) d�r det angavs att denna bed�mning f�r g�ras med h�nsyn samtliga omst�ndigheter i det enskilda fallet. Alla faktorer, s�som uppgifternas art och vilken integritetskr�nkning eller risk f�r integritetskr�nkning som behandlingen orsakat, skall enligt propositionen v�gas in vid bed�mningen av om �vertr�delsen �r att betrakta som ringa.
Domstolen framh�ll att �vertr�delsen avs�g ett f�tal uppgifter och att syftet med publiceringen i f�rsta hand varit att tillgodose f�r�ldrars ber�ttigade intresse av information om barnens skola. Sammantaget har uppgifterna dock enligt domstolen inneburit en inte obetydlig integritetskr�nkning. Uppgifterna fanns tillg�ngliga p� webbplatsen under n�stan fyra veckors tid och de togs inte omedelbart bort p� den registrerades beg�ran. Vid en samlad bed�mning, som �ven sades innefatta en avv�gning mellan yttrandefrihetens intresse och den enskildes intresse av skydd f�r privatlivet (jfr EG-domstolens ovan n�mnda dom), fann domstolen att g�rningen inte kunde anses vara ringa.
Den tilltalade d�mdes till 40 dagsb�ter � 1000 kr f�r brott mot personuppgiftslagen.
Det skiljaktiga justitier�det
Justitier�det Victor var skiljaktig betr�ffande fr�gan om �vertr�delsen var att betrakta som ringa. Resonemang �r av ett principiellt intresse f�r diskussionen om personuppgiftsskyddets utformning och funktion. Det citeras d�rf�r i sin helhet.
�Genom att publicera det aktuella brevet p� skolans hemsida har [den tilltalade] spritt uppgifterna att [husfadern] haft samarbetssv�righeter och blivit sjukskriven. Det �r i och f�r sig l�tt att f�rst� att spridning av s�dana uppgifter � oavsett i vilken form de sker � kan uppfattas som ett intr�ng i den personliga integriteten. F�r att f�rfarandet skall kunna f�ranleda straffansvar kr�vs emellertid h�rut�ver att det finns klart st�d f�r detta i lag.
I motsats till m�nga andra l�nder har Sverige inte n�gon generell lagstiftning som tar sikte p� skyddet f�r den personliga integriteten. D�remot finns �tskilliga best�mmelser som kan s�gas ge skydd f�r olika s�rskilda aspekter av den personliga integriteten (se n�rmare i t.ex. direktiven [dir. 2004:51] till den utredning om skyddet f�r den personliga integriteten som tillsattes �r 2004). N�r det g�ller spridning av uppgifter av det slag som �r aktuella i detta m�l torde det n�rmast vara straffbest�mmelserna om f�rtal i brottsbalken och tryckfrihetsf�rordningen (jfr �ven 5 kap. 1 � yttrandefrihetsgrundlagen) som under vissa f�ruts�ttningar skulle kunna vara till�mpliga. Best�mmelserna om f�rtal g�ller i princip oavsett i vilken form de uppgifter som �talet avser har l�mnats. Om f�ruts�ttningar i �vrigt f�religger f�r detta skall allts� �ven f�rfaranden som omfattas av personuppgiftslagens till�mpningsomr�de bed�mas som f�rtal helt oberoende av om f�rfarandet �r eller inte �r straffbart ocks� enligt personuppgiftslagen. Det f�rtj�nar i sammanhanget att n�mnas att uppgifter om exempelvis samarbetssv�righeter inte i sig utg�r k�nsliga personuppgifter i den mening som avses i 13 � personuppgiftslagen och att behandling av s�dana uppgifter d�rf�r ocks� faller utanf�r till�mpningsomr�det f�r lagens straffbest�mmelse �ven om f�rfarandet skulle framst� som djupt integritetskr�nkande.
I m�let har inte p�st�tts att publiceringen av uppgifterna skulle st� i strid med n�gon annan lagstiftning utan ansvarsp�st�endet grundar sig helt p� att fr�ga varit om s�dan behandling av personuppgifter som faller under personuppgiftslagens till�mpningsomr�de. Fr�gan om f�rfarandet skall anses vara ett ringa fall skall enligt min mening under s�dana f�rh�llanden inte besvaras med utg�ngspunkt i en mer allm�n bed�mning av graden av integritetsintr�ng utan utifr�n det s�rskilda skyddsintresse som ligger bakom lagen och dess straffbest�mmelse (jfr n�st sista stycket i H�gsta domstolens domsk�l i NJA 2001 s. 409).
Det finns i den delen anledning att betona att lagen, i likhet med det bakomliggande direktivet, prim�rt avser f�randet av register som inte �r av privat natur och hanteringen av s�dana register. Det st�r ocks� klart att registerh�llning och registerhantering innefattar s�rskilda integritetsproblem, inte minst mot det f�r direktivet grundl�ggande syftet att garantera ett fritt fl�de av personuppgifter mellan medlemsstaterna. Lagen, liksom direktivet, har emellertid inte begr�nsats till registerhantering utan omfattar d�rut�ver �ven s�dan behandling av personuppgifter som helt eller delvis �r automatiserad. Att ocks� s�dan behandling omfattas h�nger uppenbarligen samman med de m�jligheter som den moderna tekniken ger till systematisk s�kning �ven inom material som inte ordnats i registerform. Syftet med lagen m�ste anses vara att bereda skydd mot de s�rskilda former av integritetskr�nkning som just registerh�llning och automatiserad personuppgiftsbehandling kan medf�ra.
Anv�ndningen av datorer och Internet, och d�rmed ocks� den automatiserade personuppgiftsbehandlingen, har �kat alltmer i v�rt samh�lle. Till mycket stor del �r det emellertid fr�ga om en anv�ndning d�r den digitala teknikens speciella m�jligheter till strukturering och spridning av personuppgifter inte utnyttjas. Att s� inte sker utesluter dock inte att personuppgiftslagen �r till�mplig. Det s�rskilda skyddsintresse som straffbest�mmelsen i lagen f�r anses ha g�r sig dock i s�dana sammanhang inte g�llande.
I det i detta m�l aktuella fallet �r det fr�ga om ett par uppgifter i l�pande text i ett brev. Uppgifterna har inte ing�tt i eller varit avsedda att ing� i en samling av personuppgifter som har strukturerats f�r att sammanst�lla eller underl�tta s�kning efter just personuppgifter. Enligt min mening m�ste under s�dana f�rh�llanden den �vertr�delse av best�mmelsen i 13 � som utl�ggningen p� hemsidan utgjort anses vara ett s�dant ringa fall som �r undantaget fr�n straffansvar. �talet skall d�rf�r ogillas �ven i denna del.�
Senast �ndrad 2015-11-25

References: Domstolen 
 domstolen 
 domstolen 
 domstolen 
 Domstolen 
 domstolen 
 Domstolen 

Domstolen 
 domstolen 
 domstolen