Sekretess för personuppgifter

Ur Lov&Data nr 61 (april 2000) s. 6-8.

Kammarrätten i Jönköpings dom 1999-11-16 (Mål nr 3865-1999). Begäran om utlämnande av allmän handling. Domen har vunnit laga kraft.

Förhållandet mellan rätten att ta del av allmän handling och skyddet för personuppgifter har varit föremål för omfattande diskussion. Den intresseavvägning mellan insyn och integritetsskydd som ligger till grund för den befintliga svenska lagstiftningen på området innebär i allt väsentligt att personuppgiftsskyddet får vika. Detta framgår redan av att handlingsoffentligheten givits ett grundlagsskydd i 2 kap. tryckfrihetsförordningen (TF), men handlingsoffentlighetens företräde framgår även av 8 § personuppgiftslagen (1998:204) som anger att lagens bestämmelser inte tillämpas i den utsträckning det skulle inskränka en myndighets skyldighet enligt 2 kap. tryckfrihetsförordningen att lämna ut personuppgifter.

Personuppgiftslagens regler kan trots det sagda aktualiseras i samband med en begäran att få del av allmän handling. Av 7 kap. 16 § sekretesslagen (1980:100) framgår nämligen att sekretess gäller för personuppgift om det kan antas att ett utlämnande skulle medföra att uppgiften behandlas i strid med personuppgiftslagen. Därmed blir det nödvändigt för den som prövar en begäran om att få ta del av en allmän handling som innehåller personuppgifter att bedöma hur uppgifterna kan komma att användas och om denna användning utgör en tillåten behandling enligt personuppgiftslagens regler.

I en nyligen avkunnad dom prövar kammarrätten i Jönköping tillämpningen av 7 kap. 16 § sekretesslagen och undersöker om det företag som begärt att få ta del av handlingen får behandla de personuppgifter som ingår i denna handling för marknadsföringsändamål.

Företaget Medipharm AB som bl.a. säljer produkter som används av mjölkbönder begärde hos Jordbruksverket att få ta del av adressuppgifter för de lantbrukare/lanbruksföretag i Sverige som innehar en mjölkkvot som överstiger motsvarande 15 mjölkkor. De efterfrågade uppgifterna används av Jordbruksverket för administration av gemenskapsbestämmelser beträffande kvotering av mjölkproduktion. Uppgifterna kan emellertid av en kommersiell aktör användas för effektiv marknadsföring mot en viss kundgrupp. Verket konstaterar att uppgifterna skulle komma att behandlas på automatisk väg före ett eventuellt utskick.

Jordbuksverket avslog begäran med stöd av 7 kap. 16 § sekretesslagen. Verket konstaterade att personuppgifter enligt 10 § personuppgiftslagen bara får behandlas om den registrerade lämnat sitt samtycke till behandlingen (första meningen) eller om behandlingen är nödvändig t.ex. för att ett ändamål som rör ett berättigat intresse hos den personuppgiftsansvarige eller hos en sådan tredje man till vilken personuppgifterna lämnas ut skall kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten (punkten f).

I det aktuella fallet fanns inget samtycke från de registrerade och sökande kunde inte heller åberopa bestämmelserna i 10 § punkterna a-e som stöd för sin behandling. Beträffande intresseavvägningen (punkten f) framhöll Jordbruksverket att det allmänna marknadsföringsintresset i fallet fick träda tillbaka för den enskildes intresse av skydd för den personliga integriteten, i synnerhet som den enskilde då denne ansökte om eller tilldelades mjölkkvot inte hade anledning att räkna med att uppgifterna skulle komma att användas för marknadsföring.

Medipharm AB överklagade. Kammarrätten i Jönköping konstaterade att intresseavvägningen måste göras efter en helhetsbedömning i det enskilda fallet. I likhet med Jordbruksverket ansåg kammarrätten att intresset av att behandla efterfrågade uppgifter inte vägde tyngre än den enskildes intresse av skydd för den personliga integriteten. Även kammarrätten betonade det faktum att de enskilda i sin kontakt med Jordbruksverket inte haft anledning att räkna med att uppgifterna skulle komma att användas av Medipharm AB för avsett ändamål. Sekretess gällde sålunda enligt 7 kap. 16 § sekretesslagen.

Kommentar

Den här aktuella sekretessbestämmelsens hänvisning till personuppgiftslagen ger upphov till ett antal relativt komplexa rättsfrågor, av vilka några skall kommenteras i det följande. Vissa av dessa frågor har direkt anknytning till rättsfallet, medan andra är av mer principiell natur.

Bestämmelsen – som tillkom samtidigt som datalagen – var ursprungligen intagen i 13 § andra stycket lagen (1937:249) om inskränkningar i rätten att utbekomma allmänna handlingar och löd i de här relevanta delarna "[p]ersonuppgift, som ingår i sådant personregister som avses i datalagen (1973:289), må ej utlämnas, om det finnes anledning antaga att uppgiften skall användas för automatisk databehandling i strid med datalagen." I 1980 års sekretesslag infördes bestämmelsen – med vissa språkliga justeringar – i 7 kap. 16 §. Sin nuvarande lydelse fick bestämmelsen samtidigt som personuppgiftslagen infördes. De ändringar som då gjordes uppfattades av regeringen som rena följdändringar (prop. 1997/98:44 s. 147).

Motiven bakom bestämmelsen synes ursprungligen ha varit att bl.a. skapa kontroll över möjligheterna att genom inhämtande av uppgifter från befintliga register bygga upp nya register som används för andra ändamål än de ursprungliga registren (prop. 1973:33 s. 100 f.). Bestämmelsen kan sålunda ses som ett uttryck för en av personuppgiftsskyddets huvudprinciper nämligen att personuppgifter bara får behandlas, t.ex. lämnas ut, för vissa uttryckligt angivna ändamål och att de senare inte får behandlas för något ändamål som är oförenligt med det ursprungliga. En direkt ändamålskoppling skulle emellertid rimma illa med handlingsoffentlighetens förbud mot att efterforska vem som ligger bakom en begäran att få ta del av allmän handling och vilket syfte han har med sin begäran i större utsträckning än vad som behövs för att myndigheten skall kunna pröva om hinder föreligger mot att handlingen lämnas ut (2 kap. 14 § tredje stycket TF). Istället har sekretessen fått gälla om det kan antas att de utlämnande uppgifterna kan komma att behandlas i strid med gällande personuppgiftslagstiftning, tidigare datalagen och numer personuppgiftslagen. I praktiken torde emellertid skillnaden vara liten eftersom personuppgiftslagstiftningen vid bedömningen av vad som är tillåtet fäster stort avseende vid ändamålen med behandlingen och om behandlingen är nödvändig för att uppnå dessa ändamål.

Här finns det anledning att ifrågasätta om inte hänvisningen till personuppgiftslagen istället för till datalagen innebär en betydligt mer omfattande sekretess för personuppgifter än vad som uppmärksammades i samband med den nya bestämmelsens tillkomst. För det första så gäller sekretessen numer inte bara för personuppgifter som ingår i ett egentligt register som förs med hjälp av automatisk databehandling, utan alla personuppgifter som finns hos myndigheten omfattas. För det andra har personuppgiftslagen ett betydligt mer omfattande tillämpningsområde, t.ex. gäller den som utgångspunkt för alla former av automatiserad eller delvis automatiserad behandling av personuppgifter, t.ex. lagring av ett ordbehandlingsdokument som innehåller personuppgifter, inte bara hantering av digitala register. Vidare anges uttryckligen i vilken utsträckning som behandling av personuppgifter överhuvud taget får ske (10 §) och när känsliga personuppgifter får behandlas (13–19 §§). Man kan även fråga sig om hänvisningen till personuppgiftslagen innebär att utlämnande kan vägras på grund av att de grundläggande kraven i 9 § inte är uppfyllda, t.ex. att uppgifterna inte är riktiga (punkten g). Här skall vidare noteras att sekretess även gäller utlämnande i pappersform, under förutsättning att uppgifterna kan antas komma att behandlas på ett sätt som står i strid med personuppgiftslagen.

De inskränkningar som görs i personuppgiftslagens tillämplighet blir också betydelsefulla i detta sammanhang. Som bekant undantas behandling som en fysisk person utför som ett led i verksamhet av rent privat natur (6 §), behandling som faller in under det mediespecifika yttrandefrihetsskyddet i tryckfrihetsförordningen och yttrandefrihetsgrundlagen och behandling som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande (7 §). Sammanfattningsvis innebär dessa inskränkningar att rätten att ta del av allmän handling i stor utsträckning ändå kommer att vara beroende av vem som står bakom en begäran och i vilka syften denne har med sin behandling av personuppgifterna.

I specialmotiveringen till 11 § datalagen – som tillkom samtidigt som den här aktuella sekretessbestämmelsen och som innehöll samma utlämnandebegränsning för andra registeransvariga än myndigheter – uttalade departementschefen att det naturligtvis i många fall kunde bli svårt för den registeransvarige att avgöra om det föreligger risk för att en uppgift som begärs utlämnad skall använda på "ett otillbörligt sätt". Anledning till försiktighet torde enligt departementschefen i första hand föreligga om den registeransvarige får en begäran om massuppgifter eller selekterade uppgifter. En sådan begäran borde alltid utgöra anledning för den registeransvarige att närmare utreda hur det är avsett att uppgifterna skall användas. Först om den som begär utlämnandet anger en godtagbar förklaring härom borde uppgifterna lämnas ut (prop. 1973:33 s. 140).

Ett rimligt antagande är sålunda att det måste finnas en indikation på att uppgifterna kan komma att behandlas i strid med personuppgiftslagen för att en myndighet skall ha rätt att undersöka saken närmare. Om myndigheten har tillgång till uppgifter som visar att personuppgiftslagen inte är tillämplig på den behandling som kan förväntas ske hos mottagaren, t.ex. för att den som begär att få uppgifterna arbetar med tryckt skrift (jfr. 7 § första stycket personuppgiftslagen), torde inte vidare undersökningar få ske beträffande ändmålet. En annan tolkning på dessa punkter skulle innebära att bestämmelsen i 2 kap. 14 § tredje stycket TF skulle bli helt verkningslös beträffande alla sådana handlingar som innehåller personuppgifter.

När det mer konkret gäller personuppgifter som skall behandlas för marknadsföringsändamål finns anledning att göra några påpekanden. En intresseavvägningen enligt 10 § punkten f skall som utgångspunkt ske utifrån en helhetsbedömning av omständigheterna i det enskilda fallet. I detta sammanhang finns särskild anledning att som Datalagskommittén uppmärksamma sambandet mellan intresseavvägningen och den enskildes ovillkorliga rätt att motsätta sig att hans personuppgifter behandlas för direkt marknadsföring (11 § personuppgiftslagen). Enligt kommittén kan ofta intresset hos de registrerade som inte motsatt sig sådan behandling anses väga lätt i jämförelse med den personuppgiftsansvariges kommersiella intressen (SOU 1997:39 s. 362 f.). Rättsläget har i litteraturen uppfattats så att mer harmlös behandling av personuppgifter för direkt marknadsföringsändamål – som utgångspunkt – får ske med stöd av 10 § punkten f, medan mer omfattande kartläggningar av personers inköpsvanor etc. och skapande av s.k. kundprofiler torde kräva annat stöd, t.ex. samtycke (Lindberg, Westman, Praktisk IT-rätt, 2 uppl., s. 132).

I det aktuella fallet är det knappast så att risken för kränkning av den personliga integriteten är särskilt stor, tvärtom finns det ett naturligt samband mellan de registrerades verksamhet och den reklam som Medipharm AB ville sprida. Den enda omständighet som egentligen talar emot att behandlingen skall anses tillåten enligt en normal intresseavvägning enligt punkten f är att uppgifterna hos myndigheten har samlats in för ett annat ändamål och att de registrerade inte kunde förutse att de skulle användas för marknadsföring. Denna omständighet har både Jordbruksverket och kammarrätten tillmätt avgörande betydelse. Att syftet med insamlingen av personuppgifterna, så att säga bakvägen, tillmäts betydelse vid en bedömningen av utlämnande av allmän handling är enligt min uppfattning problematiskt. Den helhetsbedömning som personuppgiftslagen förordar borde när det gäller utlämnande av allmän handling även ta hänsyn till att det ytterst handlar just om en sådan begäran. Detta innebär även att omständigheter som normalt inte skull beaktas vid en prövning enligt 2 kap. TF inte skall tillmätas en avgörande betydelse på ett sätt som de kanske skulle ha gjort om det i grunden inte gällde en begäran om att få del av allmän handling.

Noteras kan även att i princip allt utlämnande av personuppgifter hos svenska myndigheter som sker för marknadsföringsändamål kan ifrågasättas med samma motivering som Jordbruksverket och kammarrätten använder, detta oavsett om utlämnandet sker som försäljning av uppgifter eller med stöd av 2 kap. TF.

Slutligen kan betonas att den här behandlade sekretessbestämmelsen och dess förhållande till personuppgiftslagstiftningen på ett tydligt sätt illustrerar behovet av en helhetssyn när informationsrättsliga frågor angrips. Framför allt är det nödvändigt att studera förhållandet mellan regler som tar sikte på olika steg i informationens livscykel, t.ex. insamling, lagring, bearbetning och spridning.

Daniel Westman
Institutet för rättsinformatik
2000-02-28