NJA 2001 s. 409

Åtal väcktes för publicering av integritetskränkande och andra personuppgifter på Internet. Fråga om behandlingen av personuppgifterna skett uteslutande för journalistiska ändamål och därför inte kan föranleda straffansvar enligt bestämmelserna i personuppgiftslagen (1998:204). Tillika fråga om tolkningen av en övergångsbestämmelse till personuppgiftslagen i förhållande till den generella regleringen av strafflags tillämplighet i tiden i 5 § lagen (1964:163) om införande av brottsbalken.

Allmän åklagare väckte vid Stockholms TR åtal mot B.R. född 1938, för brott mot datalagen (1973:289) enligt följande gärningsbeskrivning: B.R. har under tiden februari 1997-oktober 1997 på en webbplats på Internet för en uppgiven stiftelse under namnet Stiftelsen Mot Nordbanken uppsåtligen eller av oaktsamhet inrättat eller fört personregister utan föreskrivet tillstånd av Datainspektionen.

B.R. har även under angiven tid lagt ut personuppgifter, som ingår i personregister på Internet, utan att inhämta Datainspektionens medgivande till s.k. utlandsutlämnande i enlighet med 11 § datalagen.

TR:n (ordf. chefsrådmannen Blomquist) anförde i dom d. 14 april 1999: Domskäl. B.R. har förnekat brott.

TR:n utgår från att Internet är så allmänt bekant att någon närmare presentation av företeelsen inte behövs här i domen.

Åklagaren har gett en allmän bakgrund till åtalet enligt följande. B.R. var under fler år ägare till ett stort företag. I början av 1990-talet lämnade han verksamheten. Han ansåg att andra intressenter hade manövrerat ut honom på ett otillbörligt sätt. Det hela mynnade ut i flera civilprocesser. Under 1996 inrättade B.R. en webbplats på Internet med Stiftelsen Mot Nordbanken som avsändare. Webbplatsen innehöll uppgifter om ett flertal personer, bl.a. H. N. Uppgifterna var sammanställda på ett sådant sätt att det innebar att B.R. inrättade och förde ett personregister enligt 1 § datalagen. Personregistret innehöll sådana uppgifter att det enligt 2 § 2 st. första och andra punkten datalagen inte fick inrättas utan tillstånd av Datainspektionen. Det rörde sig om uppgifter om att någon misstänks för brott (se 4 § 1 st. datalagen) och personuppgifter som utgör omdöme eller annan värderande upplysning om de registrerade (se 6 § 2 st. datalagen). I och med att uppgifterna lades ut på Internet har de lämnats ut till utlandet. B.R. hade inte tillstånd att föra eller inrätta registret och hade inte heller medgivande enligt 11 § datalagen att lämna ut personuppgifter till utlandet. Med hänsyn till att det rörde sig om uppgifter som innebär otillbörligt intrång i personlig integritet, skulle han inte heller ha fått sådant tillstånd respektive medgivande, om han ansökt om det. I september 1997 anmälde H. N. till polisen att webbplatsen innehöll personuppgifter som innebar att det rörde sig om ett tillståndspliktigt personregister. Frågan behandlades också av Datainspektionen, som i ett beslut d. 20 okt. 1997 gjorde bedömningen att det rörde sig om ett tillståndspliktigt register och lämnade över handlingarna i ärendet till åklagarmyndigheten (aktbil. 18 s. 5 f.). I en bilaga till beslutet finns en utskrift av sidor från webbplatsen (aktbil. 21; s. 2-15 i aktbil. 21 är likalydande med s. 17-30 i aktbil. 18). Under den förundersökning som följde inhämtades tre yttranden från Datainspektionen (aktbil. 18 s. 7 f. och s. 9 f. samt aktbil. 20 s. 2 f.). I yttrandena kommer inspektionen fram till att uppgifter om personer hade lagts ut på webbplatsen på ett sådant sätt att det är att betrakta som personregister i datalagens mening. Justitiekanslern säger i ett yttrande till åklagarmyndigheten (aktbil. 18 s. 15 f.) att det i detta fall inte tycks röra sig om någon sådan användning av datormediet som skulle göra yttrandefrihetslagens regler tillämpliga.

B.R. har, genom sin försvarare, angett grunderna för sin inställning enligt följande. Det är riktigt att han utan tillstånd av Datainspektionen har lagt ut uppgifter om olika personer på en av honom disponerad webbplats på Internet under den tid som anges i åtalet och att han inte hade inhämtat Datainspektionens medgivande till utlandsutlämnande. Det är också riktigt att en del uppgifter innebär att någon misstänks för brott eller utgör omdöme och värderande upplysning om personer. Men den sammanställning av uppgifter som har gjorts är inte ett personregister. Eftersom uppgifterna inte ingår i ett personregister, krävs det inte heller medgivande från Datainspektionen för att göra dem tillgängliga i utlandet. Med utlandet skall enligt 11 § 1 st. datalagen förstås stater som inte har anslutit sig till Europarådets konvention om skydd för enskilda vid automatisk databehandling av personuppgifter. Även om det skulle röra sig om uppgifter i ett personregister, har det inte, som det förutsätts i 11 § 1 st. andra meningen datalagen, funnits anledning att anta att uppgifterna skulle användas för automatisk databehandling i utlandet. Man skall vid tolkningen av de av åklagaren åberopade bestämmelserna i datalagen beakta de grundläggande regler om yttrandefrihet som följer av 2 kap. 1 § 1 st. 1, 12 §, 13 § och 23 § RF samt artikel 10 i Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna (Europakonventionen). Om TR:n ändå skulle finna att B.R. brutit mot någon straffbestämmelse i datalagen, står den straffbestämmelsen i strid med de nyss nämnda grundläggande reglerna om yttrandefrihet och skall därför, efter vad som framgår av 11 kap. 14 § RF, inte tillämpas i målet. Skulle TR:n trots det som nu sagts finna att Börja R:s handlande är straffbart enligt datalagen, skall han ändå inte fällas till ansvar för brott, eftersom datalagen har ersatts av personuppgiftslagen utan motsvarande straffbestämmelser. Enligt 5 § lagen om införande av BrB skall nämligen, om annan lag gäller när dom meddelas än som gällde när gärningen företogs, den nya lagen tillämpas i fall då den leder till frihet från straff eller till lindrigare straff. Personuppgiftslagen trädde i kraft d. 24 okt. 1998,

då datalagen upphörde att gälla. En bestämmelse i personuppgiftslagens övergångsbestämmelser, att man i fråga om behandling av personuppgifter som påbörjats före ikraftträdandet skall tillämpa den äldre lagen i stället för den nya till och med d. 30 sept. 2001, innebär inte att man i brottmålet skall tillämpa äldre rätt. Personuppgiftslagens allmänna förbud mot behandling av personuppgifter i 49 § 1 st. a täcker inte behandling av uppgifter av den karaktär som det nu är fråga om. Det finns inte heller något krav på tillstånd från Datainspektionen för sådan behandling. Av dessa skäl kan B.R. inte fällas till ansvar för att han inte har sökt tillstånd till sitt förfarande med webbplatsen. När det gäller den del av åtalet som avser utlandsutlämnande, finns det visserligen ett förbud mot utlämnande till tredje land i 33 § personuppgiftslagen. Med tredje land skall, enligt 3 § och 34 § 2 st.personuppgiftslagen, i sammanhanget förstås en stat som inte ingår i EU eller är ansluten till EES och inte heller har anslutit sig till Europarådets konvention om skydd för enskilda vid automatisk databehandling av personuppgifter. Men B.R:s åtgärd att lägga ut uppgifter på Internet har skett uteslutande för journalistiska ändamål, och då skall, enligt 7 § 2 st. personuppgiftslagen, förbudet mot utlämnande till tredje land inte tillämpas. Vad som tidigare sagts om betydelsen av grundläggande regler om yttrandefrihet gäller även vid tillämpning av bestämmelserna i personuppgiftslagen.

Åklagaren har instämt i B.R:s bedömning att den straffbestämmelse i datalagen som ligger till grund för första stycket av åklagarens gärningsbeskrivning inte har någon motsvarighet i personuppgiftslagen.

På åklagarens begäran har vittnesförhör ägt rum med datarådet A.R. vid Datainspektionen. Båda parter har åberopat skriftlig bevisning.

Parterna är eniga om webbplatsens utformning och innehåll. Utskrifter av webbplatsens sidor ingår också i utredningen (aktbil. 18 s. 17-30 och aktbil. 21). TR:n antecknar följande uppgifter (sidhänvisningar avser aktbil. 18, om inte annat anges). På en av webbplatsens sidor, med rubriken "Välkommen!" (s. 17), anges att Stiftelsen Mot Nordbanken (SMN) är forum för bankers, finansbolags och enskilda kapitalisters skadegörelser före, under och efter bankkrisen - miljardrullningar som med sina brottsliga inslag ännu inte har nått kulmen. Där står också att SMN genom Internet skall förmedla kunskap, erfarenheter och råd för att förhindra en upprepning av denna genom tiderna största samhällsskandal i sitt slag, allt för att folk i fortsättningen skall kunna skydda sig mot de skrupelfria banker och samvetslösa nätverkskapitalister som har satt i system att roffa åt sig ytterligare makt och medel på entreprenörers, uppfinnares och samhällets bekostnad. En annan webbsida, med rubriken "SMN för rättvisa" (s. 18), innehåller argumentation riktad mot bl.a. banker och myndigheter. På webbsidan sägs att SMN har tagit Internet i sin tjänst för att få en ändring till stånd och med exempel från verkligheten redovisar hur ärliga medborgare behandlas av politiker, banker, nätverkskapitalister och domstolar. Webbsidan innehåller också en lista med länkar till rubriker till andra webbsidor, t.ex. "Skampåle". Den listan återkommer på andra webbsidor (se t.ex. s. 20 och 30). På en webbsida med rubriken "Styrelsen" (s. 19) finns uppgift om B.R. och två andra personer, och på en anslutande sida med rubriken "Styrelsemedlemmars bakgrund" (s. 19) finns uppgifter om utbildning och yrkeserfarenhet när det gäller B.R. och en av de andra. Det står också (s. 20) att, om du har synpunkter på stiftelsens verksamhet, styrelsen är tacksam för eventuella förslag via e-mail. Vidare finns en uppmaning att använda rutan "Kommentar" för din text och att sända ditt email via ett visst kommando. Vid rutan "Kommentarer" står det att du där skriver tankar, frågor eller svar. En webbsida med rubriken "Fallet B.R. och System 3R International AB" (s. 21 ff) är uppdelad i 17 avsnitt med särskilda rubriker. Under rubriken "9. Styrelsen och VD, System 3R International AB" (s. 22) finns ett fotografi på sex personer och uppgift om vilka de är. På samma sätt finns under rubriken "12. Styrelsen och VD, Företagskapital AB" (s. 22 f.) fotografier på sju personer med uppgift om deras identitet. Under rubriken "13. Industrifonden" (s. 24) finns ett pressmeddelande från Näringsdepartementet med uppgift om namn och titel på tio personer som utsetts till ledamöter i Stiftelsen Industrifonden. På en webbsida med rubriken "Senaste nytt i tvisten mellan Sparbanken Sverige AB och B.R." (s. 25) finns uppgift om elva personer som Sparbanken åberopat som vittnen.

En sida på webbplatsen har rubriken "Internet som elektronisk skampåle" (s. 26). Där finns bl.a. följande text: "Vårt rättssystem är under hedmontering för att skära kostnader och de ekonomiska brottslingarna jublar. Nu kan de få än längre försprång då poliser, åklagare och domstolar inte hänger med i svängarna. Medan anmälningarna och utredningarna läggs på hög hinner skurkarna och andra lagbrottslingar smörja kråset och lämna landet eller skicka stöldgodset utomlands utom räckhåll för det svenska systemet." - "De liberala och ofta tandlösa lagarna i Sveriges Rikes Lag har blivit ett redskap för den Rike med kapital som lockar de mindre nogräknade advokaterna, vilka mer ser till plånboken än lagboken." - "Låt Internet bli det nya instrumentet som sätter `bojor' på motborgarna genom att använda det som en elektronisk skampåle. I demokratiens och rättvisans tecken kan det inte vara förbjudet för de som blivit offer för den ekonomiska brottsligheten att redovisa sina stories. De ekonomiska brottslingarna är ljusskygga och flyr snabbt landet eller upphör med sina oegentligheter om de riskerar att bli noterade vid skampålen." - "Det gäller inte bara utpräglade ekonomiska brottslingar som kan jagas på Internet, varför inte sätta strålkastarna på de bankdirektörer, företagsledare och tjänstemän som slarvat bort 100-tals miljarder kronor och fortsätter att sko sig på samhälle och företag. Vilka straff har utdömts till de som spelade bort miljarderna?"

En webbsida med rubriken "Vid skampålen" (s. 27-30) inleds med följande text: "Namnen vid skampålen finns återgivna i artiklar och representerar medborgare som i sin yrkesroll gjort sig förtjänta av extra uppmärksamhet, se vidare SMN Internet som elektronisk 'skampåle- - "Medborgare som icke känner sig förtjänta av uppmärksamhet kan självfallet framföra sin mening via Klotterplank tillägnat bankdirektörerna." Den största delen av webbsidan "Vid skampålen" består av en alfabetisk förteckning över 71 personer. Det har vid varje namn angetts arbets- eller uppdragsgivare och/eller befattning. Vid varje namn finns också en eller flera siffror. Varje siffra utgör en länk till rubriken till en artikel där personen omnämns. Genom att klicka på siffran fick man fram rubriken i fråga. Om man sedan skrev in personens namn i en ruta, fick man genom en sökfunktion fram de ställen i artikeln där personen omnämns. Sökningen efter namnet gjordes då i hela artikeln och begränsades inte av att det förekom underrubriker i denna.

På olika webbsidor (aktbil. 21 s. 28-33) finns uppgifter om en namngiven person vilka innebär att denne bl.a. ingått ett avtal som avslöjade ytterst grova brott mot bank- och avtalslagar, tillsammans med andra plundrat och slaktat B.R:s företagsgrupp, i samverkan med andra satt ihop ett avtal som B.R. tvingades underteckna under hot av konkurs, varit inblandad i skenaffärer i syfte att göra en skattebluff, utställt luftfakturor på cirka 400 000 kr, förskingrat B.R:s tillgångar samt bestulit B.R. på hans livsverk. På webbplatsen lämnas också ofördelaktiga uppgifter om vissa andra personer (aktbil. 21 s. 17, 33 och 40 f.). En webbsida som har rubriken "Who owns the company, patents and trademarks?" är avfattad på engelska (aktbil. 20 s. 24 ff).

B.R. har, genom sin försvarare, till utveckling av sin talan anfört bl.a. följande. Det som lagts ut på webbplatsen måste bedömas i sitt rätta sammanhang. Man måste beakta förfarandets syfte och inriktning, nämligen att informera, debattera, polemisera och inbjuda till debatt. Informationsbehandling och åsiktsyttring är skilda företeelser. Internet är ett massmedium och innebär inte behandling av uppgifter i informationsteknisk mening. Integritetsskyddet i datalagen tar sikte på stora datasammanställningar. Det skall vara fråga om avancerad bearbetning med strukturering av uppgifter enligt olika relevanta sökkriterier. Vid tiden för lagens tillkomst fanns inte Internet. Att betrakta den nu aktuella webbplatsen som ett dataregister överensstämmer inte heller med normalt språkbruk. Webbplatsen erbjuder replikrätt, som också har utnyttjats av Nordbankens informationschef. Det har vid den prövning enligt dataskyddsregler som skall göras i målet ingen betydelse, om de uppgifter som har lagts ut på Internet är sanna, skäligt grundade eller kränkande. Presentationen av SMN:s styrelse på webbplatsen innebär bara en upplysning att personerna sitter i styrelsen. Uppgifter om styrelsemedlemmar i företag har hämtats direkt ur företagets årsredovisning. Pressmeddelandet från näringsdepartementet har överförts oförändrat till webbplatsen. I sammanhanget bör beaktas att Sveriges riksdag på sin webbplats har lagt ut uppgifter om personer på ett sätt som enligt vittnet A.R. kan anses innefatta informationsbehandling (se aktbil. 39). När det gäller utlandsutlämnande, gäller kravet på medgivande bara om man i det enskilda fallet kan påvisa en risk för missbruk. Det har inte framkommit några omständigheter som visar att uppgifter i de i huvudsak svenska texter som det nu rör sig om skulle behandlas i någon stat som inte hade tillträtt den aktuella konventionen. Personuppgiftslagens undantag för journalistiska ändamål skall ges en extensiv tolkning. I preambeln till det direktiv från Europaparlamentet och rådet som ligger till grund för lagen hänvisas, när det gäller journalistiska ändamål, till den rätt att ta emot och lämna upplysningar som särskilt fastslås i artikel 10 i Europakonventionen (punkt 37; jfr artikel 9 i direktivet). I en förklaring av kommissionen sägs att man vid en intresseavvägning mellan rätten till privatlivet och yttrandefriheten skall beakta möjligheten till rättslig prövning eller rätten till replik. Den möjlighet till lagstadgade inskränkningar i yttrandefriheten som artikel 10 i Europakonventionen ger till skydd för annans goda namn och rykte har i svensk lagstiftning tagits till vara vid utformning av regler om ärekränkning och skall inte inverka på bedömningen av bestämmelserna i datalagen eller personuppgiftslagen. Det skulle inte vara förenligt med förbudet mot diskriminering i artikel 14 i Europakonventionen att ge journalister ett större mått av yttrandefrihet på Internet än andra användare. Uppenbarhetskriteriet i 11 kap. 14 § RF måste ges reducerad effekt vid internationella åtaganden.

B.R. har själv lämnat bl.a. följande uppgifter: I september 1993 tog ett antal personer, däribland H.N., över hans företag System 3R International AB bakom ryggen på honom. Med anledning av det inledde han i början av 1995 två processer vid domstol, dels mot H.N. beträffande bättre rätt till patent och varumärken och dels mot Sparbanken. Han kom vid årsskiftet 1996/97 i kontakt med I.A. och M.L., som tillsammans drev Föreningen Mot Nordbanken. Alla tre hade drabbats av finanskrisen och hade insett att de enskilt hade svårt att hävda sin rätt och försvara sig gentemot bankerna. De ombildade föreningen till en stiftelse. Stiftelsen Mot Nordbanken (SMN), med syfte att informera andra om vad de varit med om. Enligt stiftelsens stadgar skall den arbeta efter principerna i yttrandefrihetsgrundlagen. B.R. föreslog att de skulle använda Internet för att hålla kostnaden för spridandet av informationen nere. Han lade upp webbplatsen i samband med att stiftelsen bildades och har sedan dess varit ansvarig för den. Syftet med SMN:s webbplats är att informera, debattera och i viss mån provocera. Det material som finns på webbplatsen har lagts ut enbart för detta syfte. Materialet är delvis hämtat från officiella källor. Så är till exempel förteckningarna över styrelserna i Företagskapital AB och System 3R International AB hämtade från respektive bolags årsredovisning. Förteckningen över medlemmarna i Industrifondens styrelse är hämtad från Internet. En del av materialet på webbplatsen utgörs av artiklar skrivna av M.L. Materialet rör till stor del B.R:s eget fall. Allt material på webbplatsen syftar till att ge exempel på verkliga fall där personer har blivit lurade av banker. Allmänna synpunkter på bankernas agerande ger inte samma effekt. De historier som berättas på webbplatsen är hämtade från verkligheten och är sanna. Att webbplatsen har en aggressiv ton beror på att vad folk har varit med om till följd av bankkrisen är hemskt. Informationen på webbplatsen har fyllts på efter hand, även om det inte har lagts in så mycket nytt material på sista tiden. SMN har fått stor respons på webbplatsen. Som en följd av det skapades "klotterplanket", där missnöjda bankkunder kunde få sina klagomål utlagda. S.G. informationschef på Nordbanken, har på "klotterplanket" svarat på klagomålen. Styrelsen för SMN har inte lagt ut något eget material på "klotterplanket", utan information från styrelsen har lagts ut på en särskild sida. B.R. ansåg att "skampålen" var ett passande namn eftersom de personer som finns med på listan skall skämmas för vad de har gjort. De nummer som anges efter varje person som finns med på "skampålen" är en länk till rubriken till de olika artiklar där personen omnämns. Det finns ingen koppling mellan numret och något visst stycke i den aktuella artikeln, utan när man har länkat sig fram till artikeln måste man söka igen genom att skriva namnet på den aktuella personen för att hitta var i artikeln namnet finns omnämnt. Han betraktar sökmöjligheten som en service till dem som omnämns på webbplatsen. Den möjliggör för dem att ta reda på vad som sägs om dem. Dessutom har de möjlighet att på webbplatsen bemöta kritiken. Han har inte varit i kontakt med Datainspektionen med anledning av webbplatsen, annat än när den hörde av sig efter anmälan mot honom. Att han inte tog kontakt med Datainspektionen innan webbplatsen inrättades berodde på att han inte ansåg att den var ett personregister. Han har tidigare i sin näringsverksamhet ansökt om och erhållit licens för ett personregister. Mot bakgrund av innehållet i det registret ansåg han inte att någon del av webbplatsen var ett register. Som tekniker ser han ett register som något som kräver en databas där man kan söka, bearbeta, sortera m.m. den information som finns i databasen. Exempel på register är kundregister och leverantörsregister. Internet består av information och är en envägskommunikation. Den som tar del av informationen kan visserligen kopiera den till sin egen dator men inte ändra eller på annat sätt bearbeta vad som finns på webbsidan.

TR:n gör följande bedömning.

En första fråga är, om det är datalagen eller personuppgiftslagen som skall tillämpas i målet. Enligt 5 § lagen om införande av BrB skall ingen dömas för gärning, för vilken inte var stadgat straff när den begicks. I samma paragraf sägs att straff skall bestämmas efter den lag som gällde när gärningen företogs och att, om annan lag gäller när dom meddelas, den lagen skall tillämpas, om den leder till frihet från straff eller till lindrigare straff. Denna regel har ett undantag avseende gärningar som varit straffbelagda under viss tid på grund av då rådande särskilda förhållanden. Det undantaget är dock inte tillämpligt i målet.

Åtalet avser tiden februari - oktober 1997. Då gällde datalagen. I personuppgiftslagen sägs att den lagen träder i kraft d. 24 okt. 1998 och att datalagen då upphör att gälla. Där sägs också att i fråga om behandling av personuppgifter som påbörjats före ikraftträdandet den äldre lagen skall tillämpas i stället för den nya till och med d. 30 sept. 2001. De nu återgivna bestämmelserna i personuppgiftslagen innebär att det är datalagen som skall tillämpas vid bedömningen av åtalet, oavsett om personuppgiftslagen skulle leda till en mildare bedömning eller inte.

Det är utrett att B.R. har lagt ut personuppgifter på en webbplats på Internet efter vad som har beskrivits i tidigare avsnitt av domen. På webbplatsen fanns bl.a. en alfabetisk förteckning över ett flertal personer med möjlighet att genom en sökfunktion få fram mera detaljerade uppgifter om de olika personerna. B.R. har härigenom inrättat och fört ett personregister med hjälp av automatisk databehandling. I och med att personregistret har lagts ut på Internet är det inte fråga om ett register som inrättats eller förts uteslutande för personligt bruk. Bland personuppgifterna fanns både uppgifter om att någon misstänks för brott och sådana som utgör omdöme eller annan värderande upplysning om den registrerade. För att inrätta och föra ett personregister av det slag som nu angetts var man enligt 2 § datalagen tvungen att ha tillstånd från Datainspektionen. Det hade inte B.R. Regelbrottet har skett i vart fall av oaktsamhet. Han har vid dessa förhållanden överträtt straffbestämmelsen i 20 § 1 st. 1 datalagen. Det kan tilläggas att en ansökan om tillstånd sannolikt skulle ha lämnats utan bifall.

Uppgifterna i personregistret har, i och med att de lagts ut på Internet, kunnat läsas och lagras i utlandet. Enligt 11 § 1 st. datalagen var man tvungen att ha medgivande från Datainspektionen för att lämna ut personuppgifter, om det fanns anledning att anta att de skulle användas för automatisk databehandling i någon stat som inte anslutit sig till Europarådets konvention om skydd för enskilda vid automatisk databehandling av personuppgifter. Att tillhandahålla personuppgifter på ett sätt som gör att de enbart kan läsas i utlandet innebär enligt T.R:s mening inte att de har gjorts tillgängliga för automatisk databehandling där. Men om Internet-användare utomlands kan lagra uppgifterna på elektronisk väg- med möjlighet att ytterligare bearbeta dem - är det enligt T.R:s uppfattning fråga om att göra dem tillgängliga för sådan behandling. Fråga är då om det under den med åtalet avsedda tiden fanns anledning att anta att uppgifterna skulle komma att behandlas på detta sått. Som webbplatsens avsändare angavs Stiftelsen Mot Nordbanken, samtidigt som det på framträdande plats på webbplatsen lämnades negativa uppgifter om denna bank. Uppgifter av detta slag är typiskt sett av beskaffenhet att väcka intresse hos personer med anknytning till eller intresse för bankvärlden. Det berättigar till antagandet att uppgifterna skulle komma att lagras av Internet-användare utomlands. Till de stater som vid den med åtalet avsedda tiden stod utanför den aktuella konventionen hör inte bara utomeuropeiska länder, t.ex. USA och Japan, utan också flera länder i Europa, t.ex. Schweiz och Liechtenstein. Det som nu sagts leder till slutsatsen att B.R. har åsidosatt kravet på medgivande för utlandsutlämning. Åsidosättandet har skett i vart fall av oaktsamhet. Han har genom sitt förfarande överträtt straffbestämmelsen i 20 § 1 st. 3 datalagen. I sammanhanget kan tilläggas att han, om han hade ansökt om medgivande, med största sannolikhet inte hade fått det.

Naturligtvis har TR:n vid den bedömning som nu har gjorts beaktat de regler om fri- och rättigheter som finns i våra grundlagar och Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna. TR:n har med andra ord inte godtagit B.R:s invändningar om att regler om yttrandefrihet skulle föranleda en annan tolkning av datalagens bestämmelser än den som nu gjorts eller att dessa bestämmelser skulle stå i uppenbar strid mot någon bestämmelse i grundlag och därför åsidosättas.

B.R. skall dömas till ett bötesstraff.

Domslut. TR:n dömde B.R. enligt 20 § 1 st. 1 och 3 datalagen för brott mot datalagen till 50 dagsböter å 250 kr.

B.R. överklagade i Svea HovR och yrkade att åtalet skulle ogillas. Åklagaren bestred ändring.

HovR:n (hovrättslagmannen Eklycke. hovrättsrådet Hesser. referent, och hovrättsassessorn Trost.) anförde i dom d. 21 dec. 1999: Utredningen i HovR:n. B.R. har hörts på nytt. Han har i samband härmed med hjälp av projektor visat delar av de sidor som förekommit på den webbplats som det är frågan om i målet. Vidare har förnyat vittnesförhör ägt rum med A.R. Den vid TR:n upptagna skriftliga bevisningen har åberopats även här. B.R. har vidare åberopat ett av docenten i straffrätt vid Uppsala universitet P.A. avgivet utlåtande rörande tillämplig lag i målet.

HovR:ns domskäl.

Utredningen i HovR:n är i allt väsentligt densamma som i TR:n. HovR:n konstaterar att parterna här, liksom i TR:n, är eniga om själva webbplatsens utformning och innehåll. HovR:n hänvisar i dessa delar till TR:ns redovisning.

B.R. har i HovR:n i huvudsak angett samma inställning till åtalet som i TR:n. Sammanfattningsvis innebär hans inställning, som HovR:n uppfattat honom, följande.

1. De uppgifter som han lagt ut på den av honom disponerade webbplatsen har inte bildat ett personregister i datalagens mening, varför åtalet, såvitt gäller förfarandet enligt första stycket i gärningsbeskrivningen, redan på denna grund skall ogillas.

2. För det fall att HovR:n skulle finna att det är fråga om ett personregister skall åtalet ogillas, såvitt gäller förfarandet enligt första stycket i gärningsbeskrivningen, på den grunden att personregistret inte omfattat några uppgifter av i 4 § eller 6 §datalagen angivet slag, varför personregistret inte krävt tillstånd av Datainspektionen.

3. Vad gäller förfarandet enligt andra stycket i gärningsbeskrivningen, skall åtalet ogillas på den grunden att det inte, som förutsätts i 11 § 1 st. andra meningen datalagen, funnits anledning att anta att personuppgifterna skulle användas för automatisk databehandling i utlandet. Datainspektionens medgivande till s.k. utlandsutlämnande har därför inte behövts.

4. För det fall att HovR:n inte skulle finna att ovannämnda rekvisit i datalagen brister, uppkommer frågan vilken lag som är tillämplig i målet. B.R. har - med stöd av det åberopade rättsutlåtandet - hävdat att det är personuppgiftslagen, vilken trädde i kraft d. 24 okt. 1998 och då ersatte datalagen, som skall tillämpas på de förfaranden som åtalet avser.

Skulle HovR:n finna att personuppgiftslagen är tillämplig gäller enligt B.R. till en början att hans förfarande enligt första stycket i gärningsbeskrivningen inte är straffbelagt enligt denna lag. Vad gäller åtalet i återstående del har B.R. hävdat att de personuppgifter som åtalet avser inte är av det slaget att de omfattas av personuppgiftslagen, varför åtalet på denna grund skall ogillas. Skulle HovR:n inte godta denna invändning har han hävdat att hans åtgärd att lägga ut de ifrågavarande personuppgifterna uteslutande skett för journalistiska ändamål, varför åtalet till följd av bestämmelsen i 7 § 2 st. personuppgiftslagen skall ogillas.

5. B.R. har slutligen hävdat att åtalet, oavsett om datalagens eller personuppgiftslagens straffbestämmelser anses tillämpliga, skall ogillas då dessa bestämmelser inte harmonierar med reglerna om yttrande- och informationsfrihet i 2 kap. RF och artikel 10 i Europakonventionen.

HovR:ns nedan angivna prövning av åtalet sker i anslutning till de av B.R. framförda invändningarna mot detta.

1. Har det förelegat ett personregister enligt 1 § datalagen?

B.R. har hävdat att det material som lagts ut på den ifrågavarande webbplatsen på Internet inte bildat ett personregister. Att det varit möjligt att i fråga om personerna i den alfabetiska förteckningen under rubriken 'vid skampålen" via länkar och en sökfunktion ur material - såsom av honom författade artiklar, tidningsartiklar, utdrag ur rättegångsskrifter m.m. - som utlagts på webbplatsen kunna inhämta olika enstaka uppgifter hänförliga till dessa personer innebär enligt B.R. inte att härigenom uppkommit ett personregister i datalagens mening. Han har gjort gällande att härför har krävts att det med hjälp av automatisk databehandling varit möjligt att bl.a. systematisera, sortera och bearbeta personuppgifterna i fråga. Han har tillagt att för det fall att uppgifterna på webbplatsen skulle anses bilda ett personregister innebär det att hela Internet är att betrakta som ett jättelikt personregister.

A.R. har i denna del uppgivit bl.a. följande. Med ett personregister menas till en början vad som klassiskt betecknar ett register, således ett register över människor och uppgifter om dessa. Till ett personregister kan emellertid också hänföras uppgifter i löpande text, i den mån dessa uppgifter är hänförliga till viss person. Det skall emellertid vara fråga om informationsbehandling av personuppgifter. För bedömningen av denna fråga kan bl.a. vara av intresse under hur lång tid uppgifterna varit tillgängliga. Det är inte en förutsättning för att ett personregister skall föreligga att uppgifterna i en löpande text skall kunna bearbetas, sorteras osv. med hjälp av automatisk databehandling. Det är till och med så att alla personuppgifter i ett personregister inte behöver ha förts med hjälp av automatisk databehandling. Även manuellt förda personuppgifter kopplade till ADB-förda uppgifter kan - beroende på ändamålet - anses hänförliga till ett personregister i datalagens mening.

HovR:n får anföra följande.

Enligt 1 § datalagen avses med personregister register, förteckning eller andra anteckningar som föres med hjälp av automatisk databehandling och som innehåller personuppgift som kan hänföras till den som avses med uppgiften.

Av, utredningen framgår att det med hjälp av de länkar som funnits angivna till namnen i den alfabetiska personförteckningen varit möjligt att inhämta ytterligare uppgifter om dessa personer i det material i form av artiklar m.m. som var utlagt på Stiftelsens webbplats. Att det inte varit möjligt att systematisera och bearbeta uppgifterna på sätt B.R. angivit medför inte att materialet därigenom inte skulle kunna ingå i ett personregister i datalagens mening. Mot bakgrund av att det - enligt vad B.R. själv uppgivit - varit ett syfte med personförteckningen och därtill hörande länkar att lämna information om personerna i fråga och till att materialet varit utlagt på webbplats under en längre tid är uppenbart att den alfabetiska förteckningen och det material som kunnat nås via länkarna tillsammans bildat ett personregister. Att materialet varit utlagt på Internet saknar varje betydelse för prövningen av frågan om det förelegat ett personregister i datalagens mening. Däremot får detta betydelse i ett annat hänseende. Genom att materialet lagts ut på Internet står det klart att fråga inte är om ett personregister som inrättats eller förts uteslutande för personligt bruk (jfr 2 § 3 st. datalagen). Huruvida till personregistret även varit att hänföra de ytterligare uppgifterna på webbplatsen, som inte kunnat nås via de ifrågavarande länkarna, finner HovR:n inte nödvändigt att ta ställning till.

2 a. Har personregistret krävt tillstånd av Datainspektionen?

Som TR:n funnit har det bland personuppgifterna funnits såväl "uppgift om att någon misstänks för brott" (4 § datalagen) som "personuppgift som utgör omdöme eller annan värderande upplysning om den registrerade" (6 § 2 st. datalagen). För att inrätta och föra det register som innehållit dessa uppgifter har det därför enligt 2 § 2 st. 1 och 2 datalagen erfordrats tillstånd från Datainspektionen. Av det anförda följer att

B.R. överträtt straffbestämmelsen i 20 § 1 st. 1 datalagen, vilket regelbrott i vart fall skett av oaktsamhet.

2 b. Har det krävts medgivande av Datainspektionen enligt 11 § datalagen? HovR:n konstaterar i likhet med TR:n att de på Internet utlagda uppgifterna blivit tillgängliga för automatisk databehandling utomlands. Frågan är då om det funnits anledning att anta att uppgifterna skulle användas för automatisk databehandling i någon stat, som inte anslutit sig till den av TR:n anmärkta Europarådskonventionen, för vilket fall det krävts medgivande från Datainspektionen för att få lämna ut personuppgifterna.

Genom att lägga ut personuppgifterna i fråga på Internet har det blivit möjligt att nå dessa från de flesta länder i världen. HovR:n delar TR:ns bedömning att uppgifterna blir tillgängliga för automatisk databehandling, om Internetanvändare utomlands kan lagra uppgifterna på elektronisk väg, med möjlighet att ytterligare bearbeta dessa. Det är självfallet svårt att närmare uttala sig om vilket intresse det funnits att utomlands ta del av och lagra uppgifterna, varav merparten var avfattade på svenska. Även om detta intresse sannolikt varit ringa anser HovR:n att det med hänsyn till webbplatsens utformning, som måste uppfattas som professionell, och till att det på framträdande plats lämnades negativa uppgifter om en stor svensk bank fanns anledning att anta att uppgifterna skulle komma att lagras av Internetanvändare i sådana utländska stater som det är fråga om. Med hänsyn till detta har det krävts medgivande för s.k. utlandsutlämning från Datainspektionen. Det anförda innebär att B.R. i och med att uppgifterna i fråga lagts ut på Internet - i varje fall av oaktsamhet - överträtt bestämmelsen i 20 § 1 st. 3 p. datalagen.

3. Tillämplig lag

Datalagen gällde fram till d. 24 okt. 1998 då den ersattes av personuppgiftslagen. I punkten 2 i övergångsbestämmelserna stadgas följande:

" I fråga om behandling av personuppgifter som påbörjats före ikraftträdandet eller behandling som utförs för ett visst bestämt ändamål om behandling för ändamålet påbörjats före ikraftträdandet skall till och med d. 30 sept. 2001 den äldre lagen tillämpas i stället för den nya."

Som framgår av TR:ns dom fann TR:n, efter att ha konstaterat att åtalet avsåg tiden februari-oktober 1997 under vilken tid datalagen gällde, att det av den angivna övergångsbestämmelsen följde att datalagen var tillämplig, eftersom i målet var fråga om behandling av personuppgifter som påbörjats före ikraftträdandet av personuppgiftslagen d. 24 okt. 1998. Vid angivet förhållande kom därför TR:n inte in på frågan om en tillämpning av personuppgiftslagen i stället för datalagen skulle ha lett till en mildare straffrättslig bedömning av B.R:s förfaranden.

I det åberopade utlåtandet av docenten P.A. hävdas att övergångsbestämmelsen inte är avsedd att tillämpas på ett fall som det förevarande, att det, trots att B.R:s handlande faller in under bestämmelsens ordalydelse, finns skäl för att avstå från att tillämpa bestämmelsen, att prövningen i stället skall ske utifrån den allmänna regeln i 5 § 2 st. lagen (1964:163) om införande av BrB (BrP), dvs. enligt den lindrigaste lagens princip, samt att denna prövning leder till att B.R:s handlande skall bedömas utifrån personuppgiftslagens bestämmelser. HovR:n får anföra följande.

Enligt den ovannämnda bestämmelsen i BrP skall straff i princip bestämmas efter den lag som gällde när gärningen företogs. Gäller annan lag när dom meddelas, skall dock den lagen tillämpas, om den leder till frihet från straff eller till lindrigare straff (lindrigaste lagens princip). Från denna princip görs undantag i fråga om gärningar som under viss tid varit straffbelagda på grund av då särskilt rådande förhållanden (undantagsregeln). En kristidsförfattning är ett typexempel härpå.

Att det i och för sig är möjligt att genom en övergångsbestämmelse till en ny lag göra undantag från den lindrigaste lagens princip står klart. I utlåtandet hävdas emellertid att en sådan särskild övergångsbestämmelse, med tanke på de överväganden som den lindrigaste lagens princip vilar på, dvs. tankarna om billighet och rättvisa, i princip endast torde böra användas för att undanröja tvivel om övergångsreglerna i fall det verkligen finns skäl att frångå den lindrigaste lagens princip, dvs. i sådana fall som annars hade fallit in under undantagsregeln. HovR:n, som finner detta synsätt naturligt, känner inte till något exempel där lagstiftaren i en ny lag, som ersätter en tidigare lag till följd av en förändrad, mildare syn på vad som är straffbart - och inte till följd av att själva gärningens karaktär till följd av ändringar av de yttre omständigheterna har förändrats - intagit en övergångsregel av här diskuterat slag.

I nu förevarande fall står klart att skälet till att vissa gärningar som var straffbara enligt datalagen är straffria enligt personuppgiftslagen eller där belagda med lindrigare straff inte är att de yttre förhållandena förändrats utan att det utvecklats en delvis förändrad syn på vad som är straffbart och bör kontrolleras med straffhot. Redan på grund härav uppkommer tveksamhet om övergångsbestämmelsens tillämpning såvitt nu är i fråga. Till detta kommer emellertid följande. Syftet med övergångsbestämmelsen har varit att ge personer som för dataregister tid att anpassa sina register till det nya och mer omfattande regelverk som personuppgiftslagen innehåller. Att övergångsbestämmelsen efter sin ordalydelse - i bestämmelsen anges att den gäller i fråga om behandling av personuppgifter som påbörjats före ikraftträdandet - över huvud taget kommit att omfatta B.R:s hantering, som upphört redan i oktober 1997 (genom att han då avlägsnade uppgifterna i det aktuella personregistret), framstår som A. närmare utvecklat i sitt utlåtande (s. 6 f.) som ett rent lagtekniskt förbiseende. Avsikten med övergångsbestämmelsen har nämligen uppenbarligen varit att den endast skall gälla i fråga om behandling av personuppgifter som pågår vid ikraftträdandet.

Mot den angivna bakgrunden anser HovR:n sig i förevarande fall kunna bortse från övergångsbestämmelsen. I stället får prövningen göras efter den lindrigaste lagens princip. Vid bedömandet av om den nya lagen (personuppgiftslagen) leder till ett lindrigare straff än vad som följer av den gamla lagen (datalagen) skall en jämförelse ske mellan de resultat som man kommer till i det konkreta fallet genom tillämpning av äldre respektive ny lag (Berg m.fl., Kommentar till brottsbalken III, 4 uppl., 1994 s. 554).

4. Prövning av åtalet enligt lindrigaste lagens princip.

Vad först gäller åtalet enligt första stycket i gärningsbeskrivningen, dvs. att B.R. utan tillstånd inrättat eller fört personregister och därigenom överträtt straffbestämmelsen i 20 § 1 st. 1 datalagen, kan omedelbart konstateras att personuppgiftslagen inte innehåller någon motsvarande straffbestämmelse. Åtalet i denna del, bedömt enligt sistnämnda lag, skall således ogillas.

Åtalet i återstående del avser att B.R. lämnat ut personuppgifter i strid mot II § datalagen (otillåtet s.k. utlandsutlämnande). HovR:n har i det föregående funnit att B.R. i denna del, i vart fall av oaktsamhet, överträtt den bestämmelse i datalagen som straffbelägger angivna förfarande, dvs. 20 § 1 st. 3 datalagen.

B.R. har hävdat att en prövning enligt personuppgiftslagens regler, såvitt nu är i fråga, leder till att åtalet skall ogillas, i första hand på den grunden att personuppgifterna inte varit av det slaget att de omfattas av lagen och i andra hand på den grunden att hans åtgärd att lägga ut de ifrågavarande personuppgifterna uteslutande skett för journalistiskt ändamål, varför åtalet till följd av bestämmelsen i 7 § 2 st. personuppgiftslagen skall ogillas. Han har tillagt att den omständigheten att han inte är journalist inte får innebära att en annan måttstock tillämpas än den som gäller för journalister och han har därvid åberopat bestämmelsen i artikel 14 i Europakonventionen om förbud mot diskriminering.

HovR:n får anföra följande.

Enligt 5 § 1 st. personuppgiftslagen gäller lagen för sådan behandling av personuppgifter som är helt eller delvis automatiserad. Det är uppenbart att de i målet aktuella personuppgifterna varit av detta slag och att de därför omfattas av personuppgiftslagen.

I 7 § 2 st. personuppgiftslagen anges, såvitt nu är i fråga, att lagens straffbestämmelser angående otillåten överföring av personuppgifter till utlandet inte skall tillämpas på sådan behandling av personuppgifter som uteslutande sker för journalistiska ändamål.

B.R. har hävdat att syftet med webbplatsen var att informera, granska, kritisera och provocera samt att ge dem som provocerades möjlighet att försvara sig. Enligt B.R. gällde detta syfte i fråga om allt det material som fanns på webbplatsen. För HovR:n står det emellertid klart att syftet, även om det delvis varit det nyss angivna, också varit att sprida kännedom om de nedvärderande personuppgifter som det är fråga om i målet. HovR:n finner därför att den åberopade undantagsbestämmelsen inte här är tillämplig, vilken bedömning inte påverkas av vad som föreskrivs i artikel 14 i Europakonventionen.

HovR:n övergår härefter till att jämföra de båda lagarnas straffbestämmelser såvitt nu är i fråga. Enligt 20 § 1 st. 1 datalagen döms den som uppsåtligen eller av oaktsamhet gjort sig skyldig till otillåtet utlandsutlämnande av personuppgifter till böter eller fängelse i högst ett år. Personuppgiftslagen innehåller i 49 § 1 st. c en motsvarande straffbestämmelse. Enligt denna döms den som uppsåtligen eller av oaktsamhet för över personuppgifter till tredje land i strid med på annat håll i personuppgiftslagen intagna bestämmelser om utlandsutlämning till böter eller fängelse i högst sex månader eller, om brottet är grovt, till fängelse i högst två år. Då det är uppenbart att B.R:s handlande inte är att bedöma som grovt brott är den tillämpliga straffskalan i personuppgiftslagen i förevarande fall den som stadgar böter eller fängelse i högst sex månader, således en mildare straffskala än den nyss angivna i datalagen. Mot angiven bakgrund får lagföring enligt personuppgiftslagen anses leda till ett lindrigare straff än vid en lagföring enligt datalagens motsvarande straffbestämmelse.

5. Frågan om inverkan på åtalet av regler om yttrande- och informationsfrihet. B.R. har hävdat att åtalet, oavsett om datalagens eller personuppgiftslagens straffbestämmelser anses tillämpliga, skall ogillas då dessa bestämmelser inte harmonierar med reglerna om yttrande- och informationsfrihet i RF och artikel 10 i Europakonventionen.

HovR:n får anföra följande. De fri- och rättigheter som B.R. tar upp får enligt 2 kap. 13 § RF begränsas med hänsyn till bl.a. "enskilds anseende" och "privatlivets helgd". I 3 § i samma kapitel anges att varje medborgare skall i den utsträckning som närmare anges i lag skyddas mot att hans personliga integritet kränks genom att uppgifter om honom registreras med hjälp av automatisk databehandling. Enligt artikel 10 i Europakonventionen har var och en yttrandefrihet, som dock får begränsas bl.a. med hänsyn till "annans goda namn och rykte". HovR:n finner att de angivna bestämmelserna ger stöd för de inskränkningar av ovan angivna friheter som skett genom datalagen och personuppgiftslagen. HovR:n får i denna del vidare hänvisa till TR:ns bedömning.

6. Sammanfattning och påföljd

HovR:ns ovan redovisade ställningstaganden innebär att åtalet enligt första stycket i gärningsbeskrivningen (inrättande eller förande av personuppgifter utan tillstånd) skall ogillas samt att B.R. skall dömas enligt andra stycket i gärningsbeskrivningen för överträdelse av 49 § 1 st. c personuppgiftslagen (otillåtet överförande av personuppgift till utlandet). Påföljden skall bestämmas till ett lågt bötesstraff.

HovR:ns domslut.

1. Med ändring av TR:ns dom dömer HovR:n B.R. för brott mot personuppgiftslagen enligt 49 § 1 st. c personuppgiftslagen (1998:204) till dagsböter 30 å 250 kr. ---.

B.R. (offentlig försvarare advokaten P.B.) överklagade och yrkade att HD skulle ogilla åtalet.

Riksåklagaren bestred ändring och justerade i HD gärningsbeskrivningen enligt följande: B.R. har under tiden februari 1997-oktober 1997 på Internet lagt ut såväl integritetskränkande som andra personuppgifter utan att i enlighet med datalagen inhämta Datainspektionens medgivande till utlandsutlämnande. Genom sitt förfarande har B.R. fört över personuppgifter till tredje land, där de kunnat behandlas.

Målet avgjordes efter huvudförhandling (Riksåklagaren genom överåklagaren Gunnel Lindberg.)

HD (JustR:n Lars K. Beckman, Nyström, referent, Svensson Viktor och Håstad) beslöt följande dom: Domskäl. B.R. har under namnet Stiftelsen Mot Nordbanken (SMN) inrättat en webbplats på Internet på vilken han publicerat ett antal personuppgifter. Under rubriken Välkommen har angetts att SMN är ett "forum för belysning av bankers, finansbolags och enskilda kapitalisters skadegörelse före, under och efter bankkrisen. Miljardrullningar som med sitt brottsliga inslag ännu inte nått sin kulmen. SMN ska genom Internet förmedla kunskap, erfarenheter och råd för att förhindra en upprepning av denna genom tiderna största svenska samhällsskandal i sitt slag. Allt för att folk skall kunna skydda sig mot skrupelfria banker och samvetslösa nätverkskapitalister som har satt i system att roffa åt sig ytterligare makt och medel på entreprenörers, uppfinnares och samhällets bekostnad". Angående webbsidan och dess innehåll i övrigt hänvisas till redogörelsen i TR:ns dom.

Målet i HD gäller endast huruvida B.R. genom publiceringen på webbsidan gjort sig skyldig till straffbar överföring av personuppgifter till utlandet.

Vid den tidpunkt som åtalet avser fanns bestämmelser om utlandsutlämnande i 11 § datalagen (1973:289) och om straff för överträdelser i en därtill anknuten bestämmelse i 20 §. Datalagen har numera upphävts och ersatts av personuppgiftslagen (1998:204). I den lagen finns bestämmelser om utlandsutlämnande i 33-35 §§ och en därtill anknuten straffbestämmelse i 49 §. I övergångsbestämmelserna till den nya lagen angavs bl.a. att datalagen under en övergångstid skulle tillämpas i stället för den nya lagen i fråga om behandling av personuppgifter som påbörjats före ikraftträdandet. Efter den nya lagens ikraftträdande har ändringar gjorts i 33 och 49 §§ utan att någon särskild övergångsreglering meddelats.

Enligt 5 § i lagen (1964:163) om införande av BrB får ingen dömas för gärning för vilken det inte var stadgat straff när den begicks. Straff skall som huvudregel bestämmas efter den lag som gällde när gärningen företogs. Om annan lag gäller när dom meddelas skall dock den lagen tillämpas om den leder till frihet från straff eller till lindrigare straff. Detta undantag gäller dock inte om det är fråga om gärning som varit straffbelagd under viss tid på grund av då rådande särskilda förhållanden. I de sist berörda fallen torde undantaget från promulgationslagens huvudregel regelmässigt markeras genom en uttrycklig övergångsregel. Något formellt hinder för att i även andra fall föreskriva undantag från huvudregeln föreligger inte men torde i praktiken inte förekomma.

Förändringarna av straffansvaret för utlandsutlämnande i personuppgiftslagen har uppenbarligen inte sin bakgrund i att några särskilda förhållanden skulle ha rått under den tid som datalagen gällde. När det gäller frågan om den till personuppgiftslagen meddelade övergångsbestämmelsen kan anses innebära att datalagens straffbestämmelse, i strid mot huvudregeln i BrB:s promulgationslag, ändå skall anses exklusivt tillämplig på det åtalade förfarandet delar HD den bedömning som HovR:n redovisat under rubriken Tillämplig lag. Detta innebär att B.R. skall fällas till ansvar enligt åtalet endast om förfarandet är straffbart såväl enligt datalagen som enligt personuppgiftslagen i sin ursprungliga och i sin ändrade lydelse.

Omfattningen av straffansvaret för utlandsutlämnande är i flera hänseenden oklar oavsett vilken lagstiftning som läggs till grund för tillämpningen. En av de invändningar som B.R. riktat mot åtalet är att förfarandet skett uteslutande för journalistiska ändamål och därför under alla förhållanden är undantaget från straffansvar enligt bestämmelsen i 7 § 2 st. personuppgiftslagen. HD väljer att inledningsvis pröva denna invändning.

Personuppgiftslagen bygger i allt väsentligt på Europaparlamentets och rådets direktiv 95/46/EG av d. 24 okt. 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. Lagen följer således i stort direktivets text och struktur och använder sig av samma begrepp och uttryck som direktivet. Allmänt sett har det också förutsatts att tolkningen av lagen skall ske i enlighet med direktivet och den tolkning av detta som EGdomstolen kan komma att göra. Några egentliga förarbeten till direktivet finns inte och detta lämnar i åtskilliga hänseenden utrymme för olika tolkningar. Med hänsyn till lagens nära anknytning till direktivet har regeringen i propositionen till riksdagen förklarat att den ansett sig i princip böra avstå från att uttala sig om hur direktivet i olika delar bör tolkas. (Prop. 1997/98:44 s. 37 f.)

Det i 7 § 2 st. personuppgiftslagen angivna undantaget från bl.a. straffansvar för behandling av personuppgifter som sker uteslutande för journalistiska ändamål grundar sig på artikel 9 i direktivet som har rubriken Behandling av personuppgifter och yttrandefriheten. Enligt artikeln skall medlemsstaterna besluta om undantag och avvikelser från vissa av bestämmelserna i direktivet beträffande behandling av personuppgifter som sker uteslutande för journalistiska ändamål med den begränsningen att undantagen skall vara nödvändiga för att förena rätten till privatliv med reglerna om yttrandefriheten.

När det gäller tolkningen av artikel 9 i direktivet finns det anledning att peka på att EU enligt artikel F.2 i fördraget om upprättande av Europeiska unionen skall respektera de grundläggande rättigheterna så som de garanterats i Europakonventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna och så som de följer av medlemsstaternas gemensamma konstitutionella traditioner. Detta återspeglas på olika sätt i regleringen i direktivet. Av artikel 1 framgår att syftet med direktivet är att skydda fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av personuppgifter. Av punkt 10 i direktivets ingress framgår att med rätten till privatliv avses detsamma som i artikel 8 i Europakonventionen. Enligt den artikeln har var och en rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. På motsvarande sätt framgår av direktivets ingress, punkt 37, att bestämmelserna i artikel 9 om yttrandefrihet särskilt avser den frihet att ta emot och sprida uppgifter och tankar som fastslagits i artikel 10 i Europakonventionen.

Det får mot den bakgrunden anses vara uppenbart att tolkningen av artikel 9 i direktivet skall ske med särskilt beaktande av Europakonventionen. Sedan d. 1 jan. 1995 gäller Europakonventionen också som lag här i landet och lag eller annan föreskrift får inte meddelas i strid med konventionen enligt 2 kap. 23 § RF.

Skyddet enligt artikel 8 i Europakonventionen avser privatlivets område. Även om det kan vara svårt att avgränsa vad som är att hänföra till det området faller alltså uppgifter som hänför sig till en persons offentliga liv i princip utanför skyddsområdet. Så länge uppgifterna angår privatlivet saknar det däremot i sig betydelse vilken karaktär som uppgifterna i övrigt har. Skyddet gäller i sådant fall även om uppgifterna inte i sig är känsliga på annat sätt än att de angår privatlivet. Skyddet enligt artikel 8 får inskränkas med stöd av lag bl.a. om det i ett demokratiskt samhälle är nödvändigt med hänsyn till andra personers fri- och rättigheter. En sådan rättighet som kan föranleda inskränkningar är den i artikel 10 skyddade yttrandefriheten.

Den i artikel 10 föreskrivna rätten till åsiktsfrihet och till att utan offentlig myndighets inblandning ta emot och sprida uppgifter och tankar är inte inskränkt till någon viss grupp av personer utan avser var och en. Utövandet av yttrandefriheten får i lag underkastas bl.a. sådana formföreskrifter, villkor, inskränkningar eller straffpåföljder som i ett demokratiskt samhälle är nödvändiga till skydd för annans goda namn och rykte eller rättigheter. En rättighet som kan föranleda inskränkningar är den i artikel 8 skyddade rätten till privatliv. En sådan inskränkning kan sträcka sig längre än vad som behövs för skydd av annans goda namn eller rykte. För uppgifter som ligger utanför det av artikel 8 skyddade området får inskränkningen däremot i allmänhet inte sträcka sig längre än vad som krävs för detta ändamål.

Det finns inte anledning att anta att direktivet i nu berörda hänseenden skulle tolkas på annat sätt än i överensstämmelse med Europakonventionen. I den danska lagstiftning som implementerat direktivet har detta markerats genom att i lagen införa en uttrycklig hänvisning till artikel 10 i Europakonventionen. I motsvarande norska lagstiftning har undantaget för journalistiska ändamål av motsvarande skäl preciserats till att också omfatta "opinionsdannende" ändamål. Det kan också noteras att den rekommendation (1/97) angående lagstiftning om uppgiftsskydd och medierna som avgivits av den arbetsgrupp som inrättats enligt artikel 29 i direktivet uttryckligen tar sin utgångspunkt i Europakonventionens artiklar 8 och 10.

Av vad som anförts ovan framgår att rättigheterna enligt artikel 8 och 10 i Europakonventionen i enskilda fall kan komma i konflikt med varandra. För att avgöra sådana konflikter tillämpar Europadomstolen den s.k. proportionalitetsprincipen vilket innebär att en avvägning görs mellan intresset av skydd för privatlivet och intresset av yttrandefrihet. Det får antas att det i personuppgiftslagen föreskrivna, på direktivet grundade, undantaget för journalistiska ändamål utgör ett försök att i mer generella termer ge uttryck för en sådan intresseavvägning. Att uttrycket journalistiska ändamål använts kan under sådana förhållanden inte antas vara i avsikt att privilegiera etablerade massmedier eller personer som är yrkesverksamma inom sådana medier. Med uttrycket torde snarare få antas vara avsett att betona vikten av en fri informationsspridning i frågor av betydelse för allmänheten eller för grupper av människor och en fri debatt i samhällsfrågor.

Undantag från de i artikel 8 och 10 garanterade rättigheterna får göras endast om det är nödvändigt för skyddet av grundläggande värden i ett demokratiskt samhälle. Av Europadomstolens praxis framgår att tolkningen av vad som är nödvändigt, och därmed också den avvägning som kan behöva göras mellan olika rättigheter, inte kan fastställas för alla länder och alla tidpunkter utan måste bedömas mot bakgrund av rådande förhållanden i varje land. Varje stat anses åtnjuta en viss frihet att bedöma om ett ingrepp är nödvändigt eller inte och därmed också hur intresseavvägningen mellan olika rättigheter bör göras i enskilda fall.

Vid den svenska implementeringen av direktivet har det också gjorts den bedömningen att artikel 9 tillåter ett hänsynstagande till bl.a. konstitutionella traditioner och principer och att direktivet därför inte lägger hinder i vägen för det generella undantag från personuppgiftslagens bestämmelser som enligt 7 § 1 st. gäller i den utsträckning som en tillämpning av dessa skulle strida mot bestämmelserna om tryck- och yttrandefrihet i tryckfrihetsförordningen eller yttrandefrihetsgrundlagen (jfr SOU 1997:39 s. 263 och prop. 1997/98:44 s. 50 f.). Även om det kan diskuteras hur långt spelrummet för nationella variationer sträcker sig (jfr Lagrådet i a. prop. s. 236) torde det vara uppenbart att ett sådant utrymme finns när det gäller tillämpningen av undantag för journalistiska ändamål. Att så är fallet vinner också stöd av utformningen av den rekommendation som berörts ovan.

I förarbetena till personuppgiftslagen har beträffande undantaget för journalistiska ändamål angetts att utgångspunkten skulle vara att detta handlar om "vedertagen" journalistik (a. SOU s. 264) samt att enighet skulle råda om att "seriös" journalistisk verksamhet är skyddsvärd (a. prop. s. 52). Oavsett ordvalet står det klart att avsikten med dessa uttalanden inte varit att hävda att avgränsningen skulle ske med tillämpning av någon form av kvalitetskriterium när det gäller innehållet utan endast syftat till att ange karaktären av en bedriven verksamhet. Detta framgår bl.a. av den särskilda förklaring i mötesprotokollet som Sverige fick intagen i samband med att direktivet antogs i ministerrådet. Enligt förklaringen ansåg Sverige att de med journalistiska ändamål jämställda undantagen för konstnärligt eller litterärt skapande mera syftar på uttrycksmedlen än kommunikationens innehåll eller dess kvalitet (jfr de s.k. instruktionerna i 1 kap. 4 § tryckfrihetsförordningen och 1 kap. 5 § yttrandefrihetsgrundlagen). Enligt vad som anges i propositionen (s. 53) skall tolkningen av undantaget ske med hänsyn till den avgivna förklaringen vilket anges kunna få betydelse särskilt för kommunikation som inte bedrivs av yrkesverksamma journalister.

Det syfte för webbsidan som angetts på denna och som B.R. utvecklat i målet måste mot den angivna bakgrunden anses ligga väl inom ramen för ett journalistiskt ändamål att informera, utöva kritik och väcka debatt om samhällsfrågor av betydelse för allmänheten. I vad mån sedan webbsidan kan anses motsvara godtagbar standard enligt de kriterier som man brukar använda när man värderar etablerad journalistisk verksamhet saknar i sig betydelse för bedömningen.

Att webbsidan som sådan måste anses ha haft ett journalistiskt ändamål utesluter emellertid inte att det inom ramen för denna skulle kunna förekomma publicering och behandling av personuppgifter som inte kan anses ha haft ett journalistiskt ändamål. Publicering av uppgifter av rent privat karaktär kan exempelvis normalt inte anses ha ett journalistiskt ändamål helt oberoende av om publiceringen sker i ett sammanhang som i övrigt har journalistiska ändamål. Det saknar härvid i princip betydelse om uppgifterna angår personer som det lämnats också andra uppgifter om som får anses vara omfattade av det journalistiska ändamålet.

B.R. får anses ha gjort gällande att alla personuppgifter på webbsidan omfattas av journalistiska ändamål. Under sådana förhållanden ankommer det i princip på åklagaren att åberopa och visa att det föreligger sådana omständigheter som gör att denna invändning mot ansvar framstår som obefogad (jfr NJA 2000 s. 355 och a. prop. s. 119). Vad åklagaren kan anses ha åberopat i denna del är att uppgifterna varit kränkande.

Att elektroniskt eller på annat sätt publicerade texter innehåller kränkande eller nedvärderande uppgifter eller omdömen innebär emellertid inte i sig att det inte är fråga om journalistiska ändamål. Tvärtom får sådant anses utgöra ett normalt inslag inom ramen för en kritisk samhällsdebatt. Som Europadomstolen framhållit innefattar yttrandefriheten även rätten att framföra sådan information och sådana åsikter och tankar som kränker, chockerar eller stör.

Då det i målet inte framförts någon annan omständighet som skulle kunna göra att vissa av personuppgifterna inte omfattades av journalistiska ändamål skall B.R:s invändning i den delen godtas.

För att webbsidan skall vara undantagen från straffansvar enligt 7 § 2 st. personuppgiftslagen krävs emellertid härutöver att behandlingen på webbsidan skett "uteslutande" för journalistiska ändamål. Åklagaren får anses ha gjort gällande att B.R. haft till syfte att sprida kränkande eller nedvärderande personuppgifter och att behandlingen av dessa uppgifter med hänsyn härtill i vart fall inte skett uteslutande för journalistiska ändamål.

Begränsningen till "uteslutande" journalistiska ändamål syftar i första hand på att klargöra att sådan personuppgiftsbehandling som sker inom massmedia och av journalister för annat än redaktionella ändamål faller utanför undantaget. Massmedias behandling av personuppgifter för exempelvis fakturering, direktreklam eller kartläggning av läsarprofiler faller således utanför undantaget (jfr rekommendationen 1/97). Något stöd för att uttrycket "uteslutande" därutöver också skulle tolkas så att det oberoende av att en publicering haft journalistiska ändamål skulle vara möjligt att med stöd av personuppgiftslagen bestraffa angrepp på annans goda namn och rykte kan inte anses föreligga.

Detta innebär inte att det så länge som det föreligger ett journalistiskt ändamål står fritt att framföra uppgifter av det aktuella slaget. Uppgiftslämnandet kan vara straffbart som förtal enligt den reglering som finns för sådana brott med särskild försvarlighetsbedömning och möjlighet till sanningsbevisning. Något utrymme för att göra motsvarande bedömningar inom ramen för personuppgiftslagen finns däremot inte. Mot den bakgrunden måste det anses stå klart att straffansvaret enligt personuppgiftslagen inte heller kan avgränsas utifrån sådana kriterier.

HD, som mot bakgrund av vad som anförts inte bedömt det som nödvändigt att inhämta något förhandsavgörande från EG-domstolen, finner sammanfattningsvis - vid tillämpning av 7 § 2 st. i den svenska personuppgiftslagen - att det inte är visat annat i målet än att B.R:s behandling av personuppgifter på den aktuella webbsidan skett uteslutande för journalistiska ändamål. Han skall därför inte dömas till ansvar för den åtalade gärningen. Vid den bedömningen saknar HD anledning att pröva i vad mån det även på annan grund skulle kunna finnas skäl att ogilla åtalet.

Domslut. Med ändring av HovR:ns dom ogillar HD åtalet.

HD:s dom meddelades d. 12 juni 2001 (mål nr B 293-00).