JK 6002-15-42

Bakgrund

JB och LB har haft skulder hos Krono­fogde­myn­­­­digheten. I oktober 2014 skickade JB ett e-brev till myn­digheten med frågor om när deras skulder hade blivit fullt betalda. Hon an­vände den e-post­adress som hon hade tillgång till i sitt arbete men bad att få svar till sin privata e-postadress. Dagen efter skickade Kronofogdemyndig­hetens kundservice ett svar till den privata e-postadress som hon uppgett.

JB uppfattade att svaret inte kunde stämma och skickade därför ett nytt e-brev till Kronofogdemyndigheten. Kundservice sorterade detta i kategorin ”Microfiche” och meddelade JB via e-post att en beställning av microfiche (i fortsättningen mikrokort) hade tagits emot. JB hörde av sig på nytt och frågade vad hon ansågs ha beställt. Kronofogdemyndigheten svarade att man på mikro­kort kan se vilka skulder som har varit föremål för indrivning och vilka betalningar som har gjorts. Kronofogdemyndigheten frågade om JB ville ha ett sådant utdrag. JB kom inte in med något svar på frågan.

Kronofogdemyndigheten skrev därefter ut den information om JB:s och LB:s skulder som fanns på mikrokorten och lade utskriften i ett kuvert. Kuvertet adresserades till JB:s arbets­givare med tillägget ”att J”. Arbetsgivarens postadress hade framgått av det första e-postmeddelande som JB skickat till myndig­heten. Kuvertet kom sedan att öppnas av andra anställda på arbetsplatsen.

att

Anspråket

JB och LB har begärt skadestånd av staten med totalt 101 500 kr, varav 1 500 kr avser inkomstförlust för JB och 100 000 kr anges avse sveda och värk enligt 5 kap. 1 § skadestånds­lagen. De har också begärt ersättning för ombudskostnader i ärendet här med 20 724 kr.

Till stöd för sitt anspråk har de anfört i huvudsak följande. JB tog kontakt med Kronofogdemyndigheten som privat­person för att få veta vilket datum hennes och LB:s sista skuld hade betalats. Hon be­gärde inte något registerutdrag. Att Kronofogde­myn­dig­he­ten i denna situation valde att skicka ett utdrag till hennes arbetsgivare är oacceptabelt. Det var fråga om känsliga och sekretesskyddade uppgifter som borde ha skickats till hennes folkbokföringsadress. Brevet öppnades nu i receptionen och cirkulerade därefter på arbetsplatsen innan det till slut nådde henne. På arbets­platsen fanns åtminstone fyra andra personer som hette J och Kronofogdemyndigheten hade inte skrivit efternamn på kuvertet. JB:s arbetskamrater har alltså kunnat läsa om deras skulder och de har mått mycket dåligt på grund av det inträffade. JB blev chockad och ledsen när hon upptäckte det öppnade kuvertet. Hon lämnade arbetsplatsen den dagen och inkomstförlusten blev 1 500 kr.

Utredningen

Kronofogdemyndigheten har föreslagit att JB och LB ska få viss ersättning enligt personuppgiftslagen (PUL) och anfört bl.a. följande.

Bestämmelser om Kronofogdemyndig­hetens behandling av personuppgifter finns främst i lagen om behandling av uppgifter i Kronofogdemyndighetens verk­samhet (KFMdbL). Genom hänvisningar till PUL fram­går att personupp­gifter ska behandlas på ett korrekt sätt och i enlighet med god sed. Fel­aktig personuppgiftsbehandling kan leda till skadestånd.

De aktuella uppgifterna är gallrade ur utsöknings- och indrivningsdata­ba­sen och överförda till mikrokort. Bevarandet av uppgifter på mikrokort är inte helt eller delvis automatiserat. Det kan vidare ifrågasättas om mikro­korten är sökbara på ett sådant sätt att samlingen är ett manuellt register enligt PUL. Det är alltså tveksamt om samlingen omfattas av KFMdbL och PUL.

Om man sätter det skyddsintresse som PUL ger uttryck för i förgrunden kan man ändå komma till slutsatsen att skadestånd bör lämnas vid denna typ av oriktig personuppgiftsbehandling. Kronofogdemyndigheten har över­sänt person­uppgifter rörande JB och LB till JB under hennes arbetsgivares adress, trots att hon inte begärt att upp­gifterna skulle skickas dit. Även om myndigheten inte hade avsett att upp­gifterna skulle komma arbetsgivaren till del kan detta förfarande inte anses ha varit korrekt och i enlighet med god sed. Viss ersättning bör lämnas.

Skadeståndsrättsliga utgångspunkter

Det finns inte något läkarintyg eller någon annan utredning som visar att någon av sökandena har lidit personsskada i skadeståndsrättslig mening. Deras anspråk får i stället bedömas som ett anspråk på ersättning för ren förmögenhetsskada (inkomstförlust) och ideell skada (kränkning).

Allmänna bestämmelser om skadestånd finns i skadeståndslagen. Särskilda föreskrifter i annan lagstiftning har dock företräde framför denna lag, vilket framgår av 1 kap. 1 § skadeståndslagen. Vid behandling av personuppgifter i Kronofogdemyndighetens verk­samhet finns sådana särskilda föreskrifter. Enligt 3 kap. 3 § KFMdbL och 48 § PUL ska Kronofogdemyndigheten som personuppgiftsansvarig ersätta den registrerade för skada och kränk­ning av den personliga integriteten som en behandling av person­uppgifter i strid med KFMdbL eller anslutande författningar har orsakat.

Är KFMdbL tillämplig i detta fall?

Den första frågan i detta fall är om Kronofogdemyndighetens åtgärd att skicka de aktuella utdragen till JB:s arbetsplats är en sådan behandling av personuppgifter som över huvud taget omfattas av KFMdbL.

Av 1 kap. 1 § KFMdbL framgår att lagen tillämpas vid behandling av per­sonu­ppgifter i Kronofogdemyndighetens verksamhet med bl.a. utsökning och indrivning, om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av per­sonuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Tillämpningsområdet motsvarar vad som gäller enligt 5 § PUL och de olika begreppen har samma innebörd som enligt PUL.

Det står klart att den utskrift som Kronofogdemyndigheten har skickat till JB:s arbetsplats har innehållit personuppgifter om henne och om LB. Det står vidare klart att utlämnande av personuppgifter genom översändande betraktas som behandling av person­uppgifter enligt 1 kap. 3 § KFMdbL jämförd med 3 § PUL (se även SOU 2003:40 s. 190).

personuppgifter

behandling av person­uppgifter

Detta räcker dock inte för att KFMdbL ska vara tillämplig. Som framgått krävs det dessutom att behandlingen har varit helt eller delvis automatiserad eller att uppgifterna har ingått i eller varit avsedda att ingå i ett manuellt register i form av en strukturerad samling av personuppgifter som är till­gängliga för sökning eller sammanställning enligt särskilda kriterier.

helt eller delvis automatiserad

manuellt register

Själva utlämnandet har i detta fall skett via vanlig post och alltså inte varit helt eller delvis automatiserat eller uppfyllt kriterierna för ett manuellt register. Detta får dock anses ha mindre betydelse. Det avgörande måste i stället vara vilken karaktär den bakomliggande behandlingen av person­upp­gifter har haft. Om den behandlingen har omfattats av KFMdbL – för att den varit helt eller delvis automatiserad eller uppfyllt kriterierna för ett manuellt register – måste även utlämnandet omfattas (jfr Öman och Lind­blom, Per­son­­upp­gifts­lagen, En kommentar, fjärde uppla­gan, s. 83 f. och 122).

Av utredningen framgår att de aktuella personuppgifterna inte har varit tillgängliga i utsöknings- och indrivningsdatabasen. Efter gallring ur denna databas har uppgifterna i stället funnits på mikrokort. Frågan är därmed om behandlingen av personuppgifter i Kronofogdemyndighetens samling av mikrokort har varit helt eller delvis automatiserad eller uppfyllt kriterierna för ett manuellt register. Behandlingen på mikrokort måste ses som åtskild från den tidigare behandlingen i utsöknings- och indrivningsdatabasen.

Med automatiserad behandling avses i princip behandling i datorer av per­son­uppgifter som finns i datorformat. Mikrofilmning har inte ansetts vara en behandling som utförs på automatiserad väg (jfr Ds 2005:13 s. 193 samt Länsrätten i Stockholms läns dom den 29 oktober 2002 i mål nr 4349-02).

Begreppet delvis automatiserad behandling kan bl.a. omfatta den situationen att någon samlar in personuppgifter manuellt, t.ex. via enkäter, med syfte att senare registrera uppgifterna i datorformat (jfr Öman och Lindblom, s. 122).

Kriterierna för ett manuellt register har ansetts innebära bl.a. att det ska vara fråga om en samling av personuppgifter och att uppgiftssamlingen ska vara strukturerad, dvs. sorterad enligt något slags system. Enligt lagtexten ska upp­gifterna dessutom vara tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Den förhärskande meningen får anses vara att det ska handla om minst två olika sökkriterier eller sökingångar, som båda ska avse personuppgifter (jfr Öman och Lindblom s. 124 ff. med hänvisningar).

Kronofogdemyndighetens samling av mikrokort har beskrivits närmare i den ovan angivna länsrättsdomen från 2002. Av länsrättens beskrivning fram­går att pärmarna med mikrokort är organiserade utifrån tidpunkten för gallring ur utsöknings- och indrivningsdatabasen. I pärmarna är uppgifterna organiserade utifrån personnummer. Till pärmarna hör bl.a. ett kortregister, uppdelat utifrån gallringsår, i vilket det är möjligt att söka på namn för att på så vis finna ett personnummer. Vid sökning i utsöknings- och indriv­nings­databasen på en person som har aktuella ärenden hos myndigheten fram­­går i förekommande fall att det finns äldre uppgifter på mikrokort. Mikrokorten används framför allt internt för bokföringsändamål, som verifikationer.

Kronofogdemyndigheten har hänvisat till länsrättsdomen i detta ärende och på fråga från Justitiekanslern uppgett att mikrokortsamlingen fortfarande är sökbar utifrån personnummer samt med hjälp av det angivna namnregistret. Vissa nyare uppgifter ska dessutom ha börjat sparas i USB-minnen.

Justitiekanslern bedömer mot denna bakgrund att mikrokortsamlingen omfattas av KFMdbL åtminstone som ett manuellt register, eftersom det är fråga om en strukturerad samling av personuppgifter som på grund av namn­registret är sökbara med hjälp av både personnummer och namn. Åtgärden att skicka de aktuella utdragen till JB:s arbetsplats har därmed varit en sådan behandling av person­upp­gifter som omfattas av KFMdbL och skadeståndsbestämmelsen i 48 § PUL.

Har behandlingen av personuppgifter stått i strid med KFMdbL?

Personuppgifter ska enligt 1 kap. 3 § första stycket 3 KFMdbL jämförd med 9 § första stycket b PUL behandlas på ett korrekt sätt och i enlighet med god sed. Vad som är god sed vid behandling av personuppgifter får enligt för­arbetena till PUL avgöras mot bakgrund av bl.a. de mer preciserade före­skrifter som kan finnas på olika områden och hur ansvarsfulla person­upp­gifts­ansvariga som regel beter sig (se prop. 1997/98:44 s. 143).

Av handlingarna i ärendet framgår att den normala hanteringen hos Krono­fogdemyndigheten är att registerutdrag skickas till den adress som den en­skilde själv hänvisat till. Finns ingen annan adress angiven skickas utdraget till folkbokföringsadressen. I detta fall har denna rutin frångåtts och Justitiekanslern anser i likhet med Kronofogdemyndigheten att det inte kan anses ha varit förenligt med god sed att översända JB:s och LB:s personuppgifter till JB via hennes arbetsplats. Be­handlingen har alltså stått i strid med KFMdbL och staten är därför skyldig att ersätta JB och LB för den skada och kränk­ning av den personliga integriteten som den felaktiga behandlingen av upp­gifterna har orsakat.

Ersättning för ren förmögenhetskada (inkomstförlust)

Justitiekanslern bedömer det som tveksamt om det föreligger ett rimligt orsakssamband mellan den felaktiga behandlingen av personuppgifter och den påstådda skadan i denna del. Oavsett detta finns det ingen utredning som visar att JB har fått löneavdrag eller på annat sätt drabbats av en inkomst­förlust på 1 500 kr genom att gå hem från arbetet den aktuella dagen. Anspråket i denna del ska därför avslås.

Ersättning för ideell skada (kränkning)

Det får anses stå klart att den felaktiga behandlingen av personuppgifter har medfört en kränkning av JB:s och LB:s person­liga integritet. 

Ersättning för kränkning får uppskattas efter skälighet mot bakgrund av samtliga omständigheter i det aktuella fallet. Därvid ska beaktas bl.a. sådana faktorer som om det funnits risk för otillbörlig spridning av känsliga eller fel­aktiga uppgifter och om den registrerade på grund av den felaktiga be­hand­lingen har blivit utsatt för något beslut eller några åtgärder som kunnat innebära något negativt för honom eller henne (se a. prop. s. 143 ff.).

Högsta domstolen har därutöver uttalat att syftet med kränkningsersättning vid överträdelser av PUL:s regler är att ersättningen ska kompensera känslor hos den skadelidande och ge upprättelse (se avgörandet NJA 2013 s. 1046). Ersättningen ska enligt Högsta domstolen bestämmas utifrån en bedömning av den kränkning som typiskt sett kan anses ha uppkommit. Enligt dom­stolen bör ersättningsnivån i fall som inte kan anses allvarliga ligga under 5 000 kr. Ersättningen för en kränkning som är att bedöma som mindre allvarlig, om än inte helt obetydlig, bör normalt bestämmas till 3 000 kr.

I detta fall kan Justitiekanslern konstatera att den felaktiga behandlingen har rört personuppgifter av ett integritetskänsligt slag. Uppgifterna har såvitt framgår också spridits på JB:s arbetsplats, låt vara inom en mindre krets. Det har samtidigt inte framkommit att JB eller LB vid sidan av obehaget har drabbats av några konkreta nega­tiva konsekvenser till följd av felet. Vid en samlad bedömning bör JB och LB tillerkännas skadestånd för kränkning med 5 000 kr var.

Ersättning för ombudskostnader

JB och LB har begärt ersättning för ombuds­kostnader i ärendet här med 20 724 kr, avseende bl.a. drygt 13 timmars arbete.

Med hänsyn till ärendets art och omfattning samt utgången i sak anser Justitiekanslern att ersättningen ska begränsas till 6 664 kr, vilket mot­svarar kostnaden för totalt fyra timmars arbete enligt den av regeringen fastställda tim­kostnadsnormen för 2016 med tillägg för vissa utlägg. Det arbete som ombudet lagt ned därutöver kan inte anses ha varit skäligen påkallat för att ta tillvara sökandenas rätt. Ersättningen bör för­delas lika mellan sökandena, vilket ger 3 332 kr var.