HFD 2016:8

Bakgrund

För att en behandling av personuppgifter ska vara tillåten enligt personuppgiftslagen (1998:204) måste den bl.a. vara förenlig med vissa grundläggande krav och ha stöd i någon i lagen angiven grund. För vissa slag av personuppgifter, exempelvis i lagens mening känsliga sådana, gäller därutöver särskilda begränsningar eller villkor. Behandling av personuppgifter om lagöverträdelser som innefattar brott är enligt huvudregeln förbjuden för andra än myndigheter. Datainspektionen har meddelat föreskrifter om vissa särskilda undantag från förbudet och kan också besluta om undantag i enskilda fall.

Säkerhetsföretaget Stanley Security Sverige AB och bensinstationsbolaget SusMel AB ansökte hos Datainspektionen om ett beslut om undantag eftersom det inte kunde uteslutas att deras planerade behandling av personuppgifter omfattades av förbudet.

Den planerade behandlingen - inom systemet TankStopp - syftar till att lösa bensinstationsbranschens problem med smitning från bensinstationer utan att förskottsbetalning behöver göras obligatorisk för samtliga förare som vill betala i kassan. TankStopp ska hindra att fordon som tidigare har tankats utan att betalning har skett, på nytt ska kunna tankas utan krav på förskottsbetalning. Systemet ska fungera på så sätt att en särskild kamera vid bensinstationens infart automatiskt läser av registreringsnumret på ett fordon som körs in på stationen. Därefter jämförs numret automatiskt med registreringsnummer som tidigare har registrerats i säkerhetsföretagets centrala databas över fordon som tankats utan att betalning har erlagts. Om fordonet finns registrerat i databasen får personalen på den aktuella bensinstationen uppgift om detta och kan då kräva att tankningen förskottsbetalas i bensinstationens butik. Uppgifter avseende fordon som inte varit föremål för olovlig tankning raderas omedelbart. Det är bara fordon som använts vid en obetald tankning som registreras i den centrala databasen, vilket sker genom att bensinstationspersonal noterar bl.a. tidpunkt och obetalt belopp, liksom fordonets modell, färg, särskilda kännetecken och registreringsnummer. Säkerhetsföretaget skickar sedan, baserat på Transportstyrelsens fordonsregister, per brev en underrättelse till fordonsägaren om att fordonet förekommit vid en obetald tankning och därför registrerats i databasen. Fordonets ägare får på så sätt möjlighet att t.ex. bestrida att fordonet varit föremål för viss obetald tankning eller anmäla att det varit stulet. Hanteringen av den fordran som uppstått till följd av en obetald tankning sköts självständigt av bensinstationerna.

Datainspektionen konstaterade att en registrering av fordon i samband med att en person tankar vid en bensinstation utan att betala utgör behandling av personuppgifter om lagöverträdelser som innefattar brott, i den mening som avses i personuppgiftslagen. Utgångspunkten var därmed att behandlingen var förbjuden. Inget undantag enligt gällande föreskrifter var tillämpligt utan det krävdes att ett särskilt undantag beviljades. Inspektionen konstaterade att bolagen visserligen hade presenterat ett väl genomtänkt och omsorgsfullt utarbetat förslag till åtgärder för att förhindra obetalda tankningar och att de visat att det finns ett befogat intresse för branschen att försöka få bukt med problemen. Enligt inspektionen måste emellertid frågan om undantag bedömas även från ett mer principiellt perspektiv. Användning av ”svarta listor” ger upphov till särskilda integritetsrisker i form av bl.a. risk för felaktiga registeringar och obefogad spridning av uppgifter. Riskerna ökar när det är fråga om en stor gemensam databas.

Vid bedömningen av om det sökta undantaget kunde medges noterade Datainspektionen att problemet med obetalda tankningar kan lösas genom krav på obligatorisk förskottsbetalning. Tank-Stopp syftar emellertid till att möjliggöra bibehållandet av en ordning där kunderna kan välja att tanka före betalning. Inspektionen fann vid en avvägning att skälen för den lösning som bolagen förordade inte var så starka att de kunde motivera införandet av ett så omfattande system som det som presenterats. Inspektionen avslog därför ansökan om undantag från förbudet att behandla uppgifter om lagöverträdelser.

Bolagen överklagade beslutet till Förvaltningsrätten i Stockholm som avslog överklagandet. Även förvaltningsrätten konstaterade att det var fråga om behandling av personuppgifter om lag-överträdelser som innefattar brott och fann att bolagens intresse av att förhindra bensinstölder inte uppvägde intrånget i enskildas personliga integritet.

Kammarrätten i Stockholm biföll bolagens överklagande och beslutade att bolagen fick behandla personuppgifter i enlighet med ansökan. Efter en avvägning mellan bolagens behov av att behandla uppgifterna och de registrerades intresse av skydd mot kränkning av sin personliga integritet fann kammarrätten att behandlingen var proportionerlig med hänsyn till dess syfte. Eftersom bolagens behandling i övrigt bedömdes vara tillåten enligt personuppgiftslagen fann kammarrätten att det därmed fanns skäl för att meddela undantag från förbudet mot att behandla personuppgifter om lagöverträdelser som innefattar brott.

Yrkanden m.m.

Datainspektionen yrkar, i första hand, att kammarrättens dom upphävs och bolagens ansökan avslås samt, i andra hand, att målet visas åter till inspektionen för bestämmande av eventuella villkor för personuppgiftsbehandlingen.

Bolagen bestrider bifall till överklagandet och anför bl.a. följande. Det finns ett befogat intresse av att behandla personuppgifterna. Det sker uppskattningsvis 100 000 obetalda tankningar per år. Detta förorsakar intäktsbortfall för bensinstationsägare om ca 44 miljoner kronor årligen. Alla landets 1 400 bemannade bensinstationer berörs. Den stora majoriteten bilister drabbas om bensinstationerna tvingas införa förskottsbetalning vid tankning som ska betalas i butik. Ett system med obligatorisk förskottsbetalning skulle få betydande effekter på kundernas köpbeteende och försäljningen av övriga varor skulle minska drastiskt.

Skälen för avgörandet

Rättslig reglering

Enligt 21 § första stycket personuppgiftslagen är det förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Genom tredje stycket samma paragraf bemyndigas regeringen, eller den myndighet som regeringen bestämmer, att meddela föreskrifter om undantag från förbudet och enligt fjärde stycket får regeringen besluta om undantag i enskilda fall eller överlåta åt tillsyns-myndigheten - dvs. Datainspektionen - att fatta sådana beslut.

Med stöd av 9 § personuppgiftsförordningen (1998:1191) har Datainspektionen meddelat föreskrifter om vissa särskilda undantag (DIFS 1998:3 som ändrats genom DIFS 2010:1). Datainspek-tionen får också enligt samma paragraf besluta om undantag från förbudet i enskilda fall.

Högsta förvaltningsdomstolens bedömning

Som underinstanserna har funnit får registrering av uppgifter om fordon som förekommit i samband med obetalda tankningar anses innefatta en behandling av personuppgifter om lagöverträdelser som innefattar brott i den mening som avses i personuppgiftslagen. Det är enligt huvudregeln förbjudet för andra än myndigheter att behandla sådana uppgifter. De undantag som gäller enligt Datainspektionens föreskrifter medger inte den aktuella behandlingen. För att vara tillåten förutsätter den således ett särskilt beslut om undantag från förbudet.

Varken i personuppgiftslagen eller i personuppgiftsförordningen anges under vilka förutsättningar ett sådant undantag kan medges. Inte heller det bakomliggande dataskyddsdirektivet (95/46/EG) ger någon ledning i detta avseende.

I förarbetena till personuppgiftslagen framhålls att personuppgifter om lagöverträdelser otvivelaktigt är av så känslig natur att vem som helst inte bör få hantera dessa hur som helst. Det anges vidare att myndigheter ofta behöver hantera just sådana uppgifter för att kunna fullgöra de samhällsuppdrag som lagts på dem men att det även kan finnas fall där det är befogat att enskilda behandlar personuppgifter om lagöverträdelser. Som exempel nämns behandling av uppgifter om t.ex. brottmålsdomar som privata vård- och behandlingshem kan behöva utföra för att vårda och behandla den dömde på ett effektivt sätt och viss registrering för försäkringsbolagens kravhantering (prop. 1997/98:44 s. 75 f.).

Bestämmelserna i personuppgiftslagen syftar till att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. Datainspektionens möjlighet att i ett enskilt fall besluta om undantag från det annars gällande förbudet mot behandling av uppgifter om lagöverträdelser bör mot denna bakgrund utnyttjas med restriktivitet.

TankStopp syftar till att motverka problemet med att fordon tankas utan att betalning erläggs, samtidigt som de kommersiella möjligheterna för bensinstationerna inte ska försämras. Det register som ska byggas upp är avsett att utgöra ett för branschen gemensamt spärregister - baserat på misstankar om brott - så att förare av vissa fordon ska kunna nekas tankning på kredit. Det centrala registret tillförs uppgifter om obetalda tankningar av personalen vid bensinstationerna. Uppgifterna bygger på personalens iakttagelser. En registrering innebär att fordonsägaren utpekas som ansvarig för att bilen tankats utan att betalning erlagts.

Systemet är således avsett att bli omfattande med många företag inblandade och får anses vara förenat med betydande integritetsrisker. Behandling av personuppgifter om lagöverträdelser i gemensamma register är normalt sett förbehållen brottsbekämpande myndigheter och är då reglerad i speciallagstiftning. Det är vidare uppenbart att systemet innefattar felkällor. Högsta förvaltningsdomstolen finner mot denna bakgrund att syftet med behandlingen inte kan anses motivera det integritetsintrång som behandlingen innebär. Det saknas således skäl att i det nu aktuella fallet medge undantag från förbudet att behandla personuppgifter om lagöverträdelser som innefattar brott. Överklagandet ska därför bifallas.

Förvaltningsrätten i Stockholm (2013-02-28, ordförande Eriksson):

Omfattas den aktuella personuppgiftsbehandlingen av personuppgiftslagen?

Bolagen har ifrågasatt om de uppgifter som ska behandlas (fordons registreringsnummer) är att anse som personuppgifter i personuppgifts-lagens mening. Enligt 3 § personuppgiftslagen avses med personuppgifter all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. I den meningen är ett fordons registreringsnummer en personuppgift eftersom detta kan hänföras till fordonets ägare med hjälp av vägtrafikregistret. Personuppgiftslagen är därmed tillämplig på den aktuella behandlingen av uppgifter.

Avser den aktuella personuppgiftsbehandlingen personuppgifter om lagöverträdelser som innefattar brott enligt 21 § personuppgiftslagen? Bolagen har anfört att registrering av en obetald tankning inte är en uppgift om lagöverträdelse som exempelvis en notering om en brottmålsdom utan en indirekt uppgift om ett skeende som, om agerandet är uppsåtligt, kan kvalificeras som en lagöverträdelse.

Enligt 21 § personuppgiftslagen är det förbjudet för andra än myndigheter att behandla personuppgifter om bl.a. lagöverträdelser som innefattar brott. Det saknas närmare reglering av vad som ska anses vara en sådan personuppgift. Klart är att för att en uppgift om en lagöverträdelse ska innefatta brott krävs att lagöverträdelsen är straffsanktionerad.

I förarbetena till den aktuella bestämmelsen (SOU 1997:39, s 383) uttalas bl.a. följande. En uppgift om att någon har eller kan ha begått stöld utgör otvivelaktigt en uppgift om lagöverträdelse även om det inte finns någon dom beträffande brottet; uppgiften har kvalificerats till att avse något visst brott. Det framstår däremot som mera tveksamt i vad mån uppgifter om faktiska iakttagelser kan utgöra uppgifter om lagöverträdelser, t.ex. en uppgift om att någon använt narkotika, en uppgift om att någon kört bil mellan två orter med viss (för hög) genomsnittlig hastighet, en uppgift om att någon som arbetar med att tömma parkeringsautomater har privat växlat in stora mängder mynt i bank osv. Elektronisk övervakningsutrustning, t.ex. kameror, installeras vidare ofta i privat verksamhet just i det befogade syftet att förr eller senare registrera lagöverträdelser, och det skulle givetvis innebära olägenheter om registreringen blev olaglig och skadeståndsgrundande i samma ögonblick som syftet med den uppnåtts, dvs. när genomförandet av t.ex. ett rån registrerats. Detta talar starkt för att uppgifter om faktiska iakttagelser om en persons handlande inte rimligen kan anses som uppgifter om lagöverträdelser i alla de fall handlandet kan innebära en lagöverträdelse. Var gränsen går får avgöras i praxis eller genom de närmare föreskrifter som kan utfärdas.

Såvitt framgår av handlingarna i målet är det som ska registreras i den aktuella databasen iakttagelser om att ett visst fordon vid en viss tidpunkt har tankats utan att betalning har erlagts. Handlandet kan utgöra stöld eller snatteri enligt 8 kap.1 eller 2 §§brottsbalken. Förvaltningsrätten anser därför, trots att någon uppsåtsbedömning inte görs i de enskilda fallen, att personuppgiftsbehandlingen avser sådana personuppgifter om bl.a. lagöverträdelser som innefattar brott. 21 § personuppgiftslagen är därmed tillämplig i målet. Inget av undantagen i Datainspektionens föreskrifter DIFS 1998:3 är aktuella.

Finns det skäl för undantag enligt 21 § personuppgiftslagen?

Vid bedömningen av om bolagen bör medges det sökta undantaget ska en avvägning göras om sökande bolags intresse av att behandla personuppgifter för att förhindra att personer tankar utan att betala väger tyngre än de registrerades intresse av att skyddas mot den kränkning av den personliga integriteten som registreringen innebär.

När det gäller t.ex. kreditupplysningsföretags möjlighet att behandla uppgifter om lagöverträdelse i enskilda fall har regeringen bl.a. uttalat att det av naturliga skäl ofta råder osäkerhet om en uppgift om misstanke om brott. Vidare har regeringen uttalat att det ankommer på Datainspektionen att i enskilda fall ta ställning till när sådana uppgifter får behandlas, varvid inspektionen har att pröva om bl.a. kraven på riktighet och nödvändighet är uppfyllda samt att Datainspektionens dispensmöjlighet bör utnyttjas synnerligen restriktivt (prop. 2000/01:50 s. 23 f.).

Datainspektionen har i sitt beslut redogjort för de omständigheter som talar särskilt för respektive emot att medge det sökta undantaget. Förvaltningsrätten gör samma överväganden som Datainspektionen och lägger samma omständigheter till grund för sin bedömning.

Förvaltningsrätten ifrågasätter inte att obetald tankning är ett problem som årligen orsakar bensinbolagen stora förluster. Som Datainspektionen anfört går det dock inte att bortse ifrån att problemet skulle kunna lösas genom krav på förskottsbetalning. Att bolagen har anfört att lösningen med förskottsbetalning av olika skäl inte är tillfredsställande föranleder inte förvaltningsrätten att göra någon annan bedömning.

De personuppgifter som behandlingen avser är enligt förvaltningsrättens mening integritetskänsliga då det, som ovan anförts, rör sig om lagöverträdelser. Det rör sig vidare om en omfattande databas som är åtkomlig för hela branschen. Även om bolagen har presenterat en väl genomtänkt lösning genom att den registrerade kan få till stånd en rättelse finns det en uppenbar risk att personer som inte begått lagöverträdelser registreras. Förvaltningsrätten anser därför att de registrerades intresse av att skyddas mot det intrång i enskildas personliga integritet som behandlingen innebär är starkare än bensinbolagens intresse av att förhindra bensinstölder. Datainspektionen har därför haft fog för sitt beslut att avslå ansökan om undantag från förbudet att behandla uppgifter om lagöverträdelser enligt 21 § personuppgiftslagen. Överklagandet ska således avslås. - Förvaltningsrätten avslår överklagandet.

Kammarrätten i Stockholm (2014-08-19, Linder, Brege och Axelsson):

Behandling av personuppgifter

Enligt artikel 2 a i dataskyddsdirektivet, som ligger till grund för bestämmelsen i 3 § personuppgiftslagen, avses med personuppgift varje upplysning som avser en identifierad eller identifierbar fysisk person (den registrerade). Enligt samma artikel är en identifierbar person en person som kan identifieras, direkt eller indirekt, framför allt genom hänvisning till ett identifikationsnummer eller till en eller flera faktorer som är specifika för hans fysiska, fysiologiska, psykiska, ekonomiska, kulturella eller sociala identitet.

Ett fordons registreringsnummer kan hänföras till fordonets ägare med hjälp av Transportstyrelsens vägtrafikregister. Oavsett om det är fordonsägaren själv eller någon annan som faktiskt framför fordonet kan således ett registreringsnummer avse en identifierbar fysisk person, nämligen fordonsägaren (jfr Kammarrätten i Stockholms dom den 8 juni 2007 i mål nr 285-07, där IP-adress ansågs avse en identifierbar fysisk person, nämligen internetabonnenten). Personuppgiftslagen är därmed tillämplig på den aktuella behandlingen av uppgifter.

Kammarrätten bedömer att bolagens tilltänkta användning av och syfte med tjänsten TankStopp framstår som sakligt grundad i bolagens verksamhet och för ett sådant berättigat ändamål som personuppgiftslagen kräver. Registreringsnumren kommer enligt bolagen att ligga kvar i TankStopps matchningsdatabas under tre år. Kammarrätten anser att denna tid inte är längre än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. De grundläggande kraven enligt 9 § personuppgiftslagen är därmed uppfyllda.

Uppgift om lagöverträdelser

Bestämmelsen i 21 § personuppgiftslagen har sin grund i artikel 8.5 i dataskyddsdirektivet. I artikeln anges att behandling av uppgifter om lagöverträdelser, brottmålsdomar eller säkerhetsåtgärder får utföras endast under kontroll av en myndighet eller - om lämpliga skyddsåtgärder finns i nationell lag - med förbehåll för de ändringar som medlemsstaterna kan tillåta med stöd av nationella bestämmelser som innehåller lämpliga och specifika skyddsåtgärder.

Det som ska registreras i TankStopps matchningsdatabas är iakttagelser om att ett visst fordon vid en viss tidpunkt tankats utan att betalning erlagts, något som kan utgöra stöld eller snatteri enligt 8 kap.1 eller 2 §§brottsbalken. Mot bakgrund av detta anser kammarrätten att de uppgifter som bolagen avser att behandla kommer att innehålla uppgifter om lagöverträdelser som avses i 21 § personuppgiftslagen.

Undantag från förbudet i 21 § personuppgiftslagen

Kammarrätten bedömer att bolagens behandling av personuppgifter i TankStopp inte omfattas av undantaget enligt 9 § första meningen personuppgiftsförordningen och DIFS 2010:1, eftersom det inte är fråga om enstaka uppgifter som behandlas. Det återstår därmed för kammarrätten att bedöma om det finns förutsättningar att meddela undantag enligt 9 § andra meningen i personuppgiftsförordningen. Enligt nämnda bestämmelse får Datainspektionen i enskilda fall besluta om undantag från förbudet i 21 § personuppgiftslagen. Avsikten är att Datainspektionen ska kunna besluta om sådana undantag i de fall enskilda har ett befogat intresse av att behandla personuppgifter om lagöverträdelser, och behandlingen står under tillfredsställande kontroll av en myndighet (SOU 1997:39 s. 379). Varken av ordalydelsen i 21 § personuppgiftslagen eller av 9 § personuppgiftsförordningen framgår närmare under vilka förutsättningar undantag kan beviljas.

I bedömningen av om undantag ska meddelas har kammarrätten beaktat följande. Det bakomliggande syftet med den planerade personuppgiftsbehandlingen är att minska ett som synes omfattande problem för bensinbolag med obetalda tankningar. Syftet med TankStopp är att hindra personer, som tidigare smitit från att betala, att på nytt kunna tanka på kredit. Det är endast fordons registreringsnummer som registreras och konsekvensen av regis-treringen blir att en person som ska tanka ett registrerat fordon kan tänkas bli nekad att tanka på kredit. Kammarrätten anser att bolagen har presenterat väl genomtänkta rutiner och säkerhetsåtgärder avseende TankStopp. Exempelvis genomförs dubbla kontroller för att det ska var korrekt registreringsnummer som registreras i matchningsdatabasen. Databasen samt överföring av uppgifter mellan bensinstationerna och databasen är krypterad. Efter en matchning av ett registreringsnummer mot databasen i samband med ett fordons infart till en bensinstation raderas registreringsnumret och tidpunkten omedelbart, oavsett om det är en träff i systemet eller inte. Det finns visserligen vissa risker med felregistreringar, exempelvis om ett stulet fordon tankar utan att betalning erläggs. Kammarrätten anser dock att det framstår som relativt enkelt att dels åtgärda felregistreringar, dels ta bort registreringar efter att exempelvis historiska skulder har reglerats.

Kammarrätten anser att bolagen har ett befogat intresse att behandla personuppgifter i TankStopp på det sätt som beskrivits. Efter en avvägning mellan bolagens behov av att behandla uppgifterna och de registrerades intresse av skydd mot kränkning av deras personliga integritet, bedömer kammarrätten att behandlingen är proportionerlig med hänsyn till syftet med behandlingen.

Kammarrätten bedömer sammanfattningsvis att bolagens behandling av personuppgifter i TankStopp är tillåten enligt 10 § personuppgiftslagen och att det finns förutsättningar att meddela undantag från förbudet att behandla uppgifter om lagöverträdelser enligt 21 § personuppgiftslagen. - Kammarrätten bifaller överklagandet och beslutar att Stanley Security Sverige AB och SusMel AB får behandla personuppgifter i TankStopp i enlighet med ansökan.