Sista ordet om Bodil
Ur Lov&Data nr 78 juni 2004, s. 10-11.
Undantaget från personuppgiftslagens regler om skyldighet att anmäla behandling till Datainspektionen när behandlingen sker i löpande text har inte ansetts tillämpligt när personuppgifter görs tillgängliga på en webbplats som innehåller en sida för varje registrerad. Personuppgiftslagen innebär med hänsyn till sitt syfte och sin utformning en i princip legitim inskränkning av yttrandefriheten. Tillämpning av personuppgiftslagens regler om anmälningsskyldighet och förbud mot behandling av känsliga personuppgifter i det enskilda fallet har inte heller ansetts innebära en oproportionerlig begränsning av den personuppgiftsansvariges grundläggande fri- och rättigheter. Även fråga om överträdelse av personuppgiftslagen varit ringa och därmed straffri (Göta hovrätts dom 2004-04-07, mål nr. B 747-00).
Inledning
I det senaste numret av Lov&Data (nr 77 - mars 2004, s. 23 ff.) refererades och kommenterades bl.a. ett förhandsavgörande av EG-domstolen (mål C-101/01) med anledning av ett antal frågor om tolkningen av dataskyddsdirektivet[1] som ställts av Göta hovrätt. Hovrätten har nu slutligen avgjort målet och därvid uttalat sig om tillämpningen av personuppgiftslagen och undantagen från denna. Domen refereras här i de delar som utgången inte direkt kan sägas följa av EG-domstolens avgörande.
Bakgrund
En privatperson (Bodil L) arbetade vid sidan av sin anställning som lokalvårdare som konfirmandledare inom ett svenskt pastorat. Inom ramen för en datakurs som hon deltog i skapade hon en webbplats med ett antal webbsidor. Syftet med webbplatsen, som hon skapade hemma hos sig själv och på sin egen dator, var att göra det möjligt för församlingsmedlemmar som förberedde sig för konfirmationen att lätt få den information de behövde. På Bodil L:s begäran länkade den webbansvarige på Svenska kyrkans webbplats till hennes webbsidor.
Dessa sidor innehöll vissa uppgifter om Bodil själv och om arton av hennes arbetskamrater inom pastoratet, inklusive deras fullständiga namn och i vissa fall bara förnamn. Därutöver beskrevs, i lätt skämtsamma ordalag, arbetskamraternas arbetsuppgifter och fritidsvanor. I flera fall nämndes även familjeförhållanden, telefonnummer och andra uppgifter. Därutöver angav hon att en kvinnlig arbetskamrat hade skadat foten och var sjukskriven på halvtid.
Varje person beskrevs på en egen webbsida. Överst på varje sida fanns det hyperlänkar till de andra sidorna på webbplatsen. Användaren kunde genom att klicka på en persons namn ta del av en webbsida som gällde den personen.
Bodil L hade varken informerat sina arbetskamrater om att webbsidorna existerade eller inhämtat deras samtycke. Någon anmälan till Datainspektionen hade inte heller gjorts. Så fort hon fick veta att vissa av hennes kolloger inte uppskattade sidorna avlägsnade hon dem från internet.
I hovrätten yrkade åklagaren enligt personuppgiftslagen ansvar mot Bodil L för att hon behandlat personuppgifter utan anmälan till Datainspektionen (36 § personuppgiftslagen) och att hon behandlat känsliga personuppgifter, nämligen dem om en skadad fot och sjukskrivning på halvtid, utan rättsligt stöd (13 § personuppgiftslagen).
Hovrättens dom
I sin dom uttalade EG-domstolen att det enligt gemenskapsrätten ankommer på de nationella domstolarna att tillämpa nationella bestämmelser i det enskilda fallet på ett sådant sätt att det uppnås en korrekt jämvikt mellan de rättigheter och skyldigheter som är i fråga, inklusive de grundläggande rättigheter som skyddas genom gemenskapens rättsordning. Mot denna bakgrund valde hovrätten att göra en prövning av ansvarsyrkandena i målet i två steg. Först prövade rätten om personuppgiftslagens straffsanktionerade bestämmelser om anmälningsskyldighet respektive förbud mot behandling av känsliga personuppgifter överträtts. Därefter prövade rätten dels om personuppgiftslagen som sådan kunde anses strida mot rätten till yttrandefrihet, dels om dess tillämpning i det konkreta fallet kunde ses som ett oproportionerligt stort ingrepp i yttrandefriheten.
Bodil L gjorde gällande att hennes behandling av personuppgifter skett i löpande text varför hon enligt 4 § personuppgiftsförordningen inte varit anmälningsskyldig enligt 36 § personuppgiftslagen. Hovrätten konstaterade bl.a. att personuppgiftsförordningens undantag för behandling av personuppgifter i löpande text saknade motsvarighet i dataskyddsdirektivet, men att undantaget fick anses grundat på artikel 18.2 första strecksatsen. Enligt den bestämmelsen får en medlemsstat föreskriva undantag från och förenklingar av anmälningsplikten om det är fråga om sådana behandlade uppgifter beträffande vilka det inte är sannolikt att den registrerades fri- och rättigheter kränks. Denna möjlighet för medlemsstaterna att föreskriva om undantag från anmälningsplikten har införts för att undvika olämpliga administrativa formaliteter (jfr stycke 49 i direktivets ingress). Hovrätten noterade att uttrycket ”personuppgifter i löpande text” även förekommer i 26 § tredje stycket personuppgiftslagen. Enligt förarbetena till denna bestämmelse avses med ”löpande text” i detta sammanhang information som inte har strukturerats så att sökningar av personuppgifter underlättas (prop. 1997/98:44 s. 132). Mot bakgrund av det som sagts och med särskild hänsyn till direktivets och personuppgiftslagens syften, vilka enligt hovrätten fick antas ha beaktats vid utformningen av personuppgiftsförordningen, fann rätten att Bodil L:s webbplats varit så strukturerad att det uppenbarligen inte varit fråga om behandling av personuppgifter i löpande text.
EG-domstolen fann i sin dom att en uppgift om att en person hade skadat sin fot och var sjukskriven på deltid utgjorde en personuppgift om hälsa i dataskyddsdirektivets mening. Då personuppgiftslagen skall tolkas i enlighet med direktivet fann hovrätten att dessa uppgifter omfattades av förbudet mot behandling av känsliga personuppgifter i 13 § personuppgiftslagen. Hovrätten konstaterade vidare att samtycke inte hade inhämtats och att stöd för behandlingen inte fanns i 17 § personuppgiftslagen, eftersom personuppgifterna genom att de fanns tillgängliga på internet hade lämnats ut till tredje man.
Hovrätten övergick därefter till att pröva förhållandet mellan personuppgiftsskyddet och yttrandefriheten. Bodil L hade gjort gällande att hennes behandling av personuppgifter varit tillåten enligt 7 § och 10 § punkt f personuppgiftslagen. Hovrätten redogjorde utförligt för gemenskaprättens förhållande till grundläggande rättigheter såsom yttrandefriheten samt innehållet i artikel 10 i Europakonventionen och 2 kap. 1 § regeringsformen. Rätten noterade även att EG-domstolen i sitt förhandsavgörande funnit att dataskyddsdirektivet inte i sig utgjorde en begränsning som stod i strid med allmänna principer om yttrandefrihet eller andra fri- och rättigheter som gäller inom Europeiska unionen och som har en motsvarighet i bl.a. artikel 10 i Europakonventionen. I linje med detta fann hovrätten att personuppgiftslagen, med hänsyn till sitt syfte och sin utformning, utgjorde en i princip legitim inskränkning av yttrandefriheten.
Enligt EG-domstolens förhandsavgörande ankommer det emellertid även på en nationell domstol att i det konkreta fallet göra en korrekt avvägning mellan de olika rättigheter och skyldigheter som är i fråga, dvs. att göra en proportionalitetsbedömning. Hovrätten menade att det dessutom i personuppgiftslagen finns särskilda bestämmelser, bl.a. de av Bodil L åberopade bestämmelserna, som i sig kunde anses var ett uttryck för proportionalitetsprincipen.
Beträffande 7 § andra stycket personuppgiftslagen hänvisade rätten till NJA 2001 s. 409 (se Lov&Data nr 67, september 2001, s. 13-17). Efter att ha redogjort för Högsta domstolens tolkning av uttrycket ”journalistiskt ändamål” fann hovrätten att Bodil L:s behandling av personuppgifter inte hade till syfte att informera, utöva kritik eller att väcka debatt om samhällsfrågor av betydelse för allmänheten. I stället hade behandlingen haft till syfte att informera en begräsad grupp medlemmar i församlingen, något som inte kunde anses berättiga att uppgifterna gjorts allmänt tillgängliga på internet. Då det inte heller ansågs vara fråga om sådant konstnärligt eller litterärt skapande som nämns i bestämmelsen, fann rätten att undantaget i 7 § andra stycket inte var tillämpligt.
Bestämmelsen i 10 § punkt f, som Bodil L åberopade, utgör endast ett undantag från det allmänna kravet på samtycke från den registrerade och gäller överhuvudtaget inte förbudet mot att behandla känsliga personuppgifter. Enligt hovrätten kunde emellertid bestämmelsen ses som ett uttryck för en allmän avvägning mellan exempelvis yttrandefrihet och skyddet för privatliv. Grunderna för bestämmelsen kunde därför beaktas vid prövningen av huruvida bestämmelserna om anmälningsskyldighet och förbud mot behandling av känsliga personuppgifter – till följd av proportionalitetsprincipen – inte skulle tillämpas på Bodil L:s behandling av personuppgifter. Vid denna avvägning beaktade hovrätten att de uppgifter som Bodil L behandlat var av så alldaglig karaktär i förhållande till den typ av uppgifter som yttrandefriheten primärt skall garantera skydd för, att yttrandefrihetens intresse i det perspektivet inte hade någon större tyngd. Vidare noterade rätten att uppgifterna om hälsotillstånd principiellt sett utgjorde förhållandevis skyddsvärda uppgifter om den registrerades privata sfär. Å andra sidan hade Bodil L ett berättigat intresse att underlätta konfirmandernas deltagande i församlingslivet. Detta intresse kunde emellertid enligt rätten inte motivera att uppgifterna gjordes allmänt tillgängliga. Sammanfattningsvis fann hovrätten att en tillämpning av proportionalitetsprincipen inte innebar att de straffsanktionerade bestämmelserna inte skulle tillämpas på Bodil L:s behandling.
Hovrätten fann mot denna bakgrund att Bodil L av oaktsamhet brutit mot personuppgiftslagen genom att hon underlåtit att göra anmälan enligt 36 § och genom att hon behandlat känsliga personuppgifter i strid med 13-20 §§. Rätten konstaterade även att författningstexten varit tillräckligt klar och tydlig varför legalitetsprincipen inte hindrade att straffbestämmelsen i 49 § personuppgiftslagen tillämpades. Bodil L:s överträdelser av lagen ansågs emellertid efter en helhetsbedömning vara ringa och de var därför straffria. För att komma fram till denna slutsats beaktade hovrätten särskilt att behandlingen inte haft något kommersiellt syfte, att behandlingen skett i Bodil L:s arbete som handledare för konfirmander och därmed som en integrerad del i hennes utövande av sin religion, att uppgifterna varit av alldaglig art, att uppgifterna varit tillgängliga på förhållande vis kort tid på internet och att Bodil L tagit bort uppgifterna så snart hon fått reda på att en del av de berörda personerna hade gett till känna att de var negativt inställda. Mot att överträdelserna skulle betraktas som ringa talade enligt rätten att personuppgifterna gjorts tillgängliga för en större allmänhet.
[1] Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter.