NJA 2005 s. 361

Fråga, i mål om brott mot personuppgiftslagen (1998:204), om uppgifter som lagts ut på en hemsida på Internet därigenom överförts till tredje land samt om de utlagda uppgifterna utgjort känsliga personuppgifter. Även fråga om gärningen är att anse som ringa.

Kristinehamns tingsrätt

Allmän åklagare väckte vid Kristinehamns tingsrätt åtal mot M.W. för brott mot personuppgiftslagen enligt följande gärningsbeskrivning:

M.W. har i egenskap av ordförande i styrelsen för Stiftelsen Lundsbergs skola, tillika ordförande i ledningsgruppen för skolan, varit ansvarig för innehållet på Lundsbergsskolans hemsida på Internet. - Han har därvid i Storfors kommun uppsåtligen eller av oaktsamhet utan samtycke låtit behandla personuppgifter på Internets hemsida www.lundsbergsskola.se som rör hälsa genom att i hemsidan låta föra in uppgifter om U.B:s namn och anställningsförhållanden och därvid ange att denne haft samarbetssvårigheter och blivit sjukskriven. Uppgifterna har funnits på hemsidan i vart fall under perioden 9 oktober 2000-4 november 2000. - Genom att behandla personuppgifter rörande U.B. på en hemsida på Internet har personuppgifter som är under behandling förts över till tredje land.

Lagrum: 13 § 2 st., 33 § och 49 § 1 st. b) och c) personuppgiftslagen (1998:204).

De av åklagaren åberopade uppgifterna ingick i ett på hemsidan intaget brev daterat den 9 oktober 2000 och ställt till ”Bästa Lundsbergsföräldrar”. Brevet innehöll bl.a. information om ny skolledning på Lundsberg och vissa andra organisatoriska nyheter. Vidare anfördes följande:

Mot bakgrund av husfar U.B:s uttalande i Nya WermlandsTidningen förra veckan om att mobbning och trakasserier förekommer på Lundsberg så beslutade skolledningen torsdagen den 4 oktober att genomföra en kartläggning av förekomst, omfattning och vidd av dylika helt oacceptabla övergrepp. Resultatet av dessa interna elevintervjuer, som genomförs både skriftligt anonymt och muntligt kommer att föreligga i morgon tisdagen den 10 oktober.

Skolledningen kommer efter analys att omgående vidtaga nödvändiga åtgärder för att komma till rätta med eventuella problem.

U.B. anställdes på skolan hösten 1999 som husfar på Herrgården men omplacerades p.g.a. samarbetssvårigheter med elever och föräldrar till ett annat elevhem och är sedan någon vecka sjukskriven.

Domskäl

Tingsrätten (ordförande rådmannen Carl-Erling Halldin) anförde i dom den 6 februari 2003:

Domskäl

Skuldfrågan

M.W. har medgett att han i egenskap av ordförande varit ansvarig för innehållet på ifrågavarande hemsida och att ifrågavarande uppgifter om U.B. under kort tid funnits på hemsidan, men förnekat brott. Han har hävdat att uppgifterna inte är sådana som avses vare sig enligt bestämmelsen i 13 § 2 st. eller 33 §personuppgiftslagen och att U.B. har lämnat sitt samtycke till att uppgifterna införts på hemsidan samt att resp. gärning i vart fall är att bedöma som ringa fall.

Åklagaren har utvecklat åtalet enligt följande. U.B. arbetade som husfar på Lundsbergs skola. På skolans hemsida upptäckte han ett brev daterat den 9 oktober 2000 som innehöll personuppgifter om honom, vilka han uppfattade som direkt kränkande. Brevet fanns tillgängligt på hemsidan för alla och envar. U.B. bad företrädare för skolans ledning om att uppgifterna skulle tas bort, vilket inte skedde och han gjorde därför en polisanmälan. Uppgifterna togs först då bort.

Åklagaren har som skriftlig bevisning åberopat en utskrift av Lundsbergs skolas ifrågavarande hemsida med skrift som är daterad den 9 oktober 2000, jämte uppgifter om Stiftelsen Lundsbergs skola och styrelsen jämte skolledningen samt utskrift av förhör hållet den 19 september 2001 med A.S., tidigare anställd på skolan som avlidit och inte har kunnat höras som vittne vid förhandlingen.

M.W. har genom sin försvarare angett grunderna för sin inställning till åtalet enligt följande. Enligt 13 § 2 st. personuppgiftslagen är det förbjudet att behandla sådana personuppgifter som rör hälsa och sexualliv. De uppgifter som lämnats om U.B. är hans namn, att han är sjukskriven och att han har samarbetssvårigheter. För det fall uppgiften om sjukskrivningen är att hänföra till U.B:s hälsa, så är det en allmän uppgift som inte kan betraktas som känslig. Brevet var ett informationsbrev till elevernas föräldrar och brevets enda syfte var att informera om förhållandena på skolan. Genom det tilläggsavtal som tecknades mellan skolan och U.B. gav denne sitt samtycke till att uppgifterna lades ut på Internet, varför behandlingen av uppgifterna var tillåten. Uppgifterna har endast funnits tillgängliga på Internet under kort tid. Det måste i vart fall anses som ringa.

M.W. har som skriftlig bevisning åberopat bl.a. vad Datainspektionen uttalat i yttrande avgivet den 11 december 2000 om tillämplighet av personuppgiftslagen med avseende på vad som är tillåtet och vad som är att anse som ringa fall. Han har vidare som skriftlig bevisning åberopat tillläggsavtalet som träffats den 11 oktober 2001 mellan Stiftelsen Lundsbergs skola och U.B.

U.B. har hörts såsom målsägande på åklagarens begäran. Han har berättat bland annat följande. Han arbetade som husfar på ett av elevhemmen på Lundsbergs skola. Som husfar ansvarade han tillsammans med en kollega för de cirka 35 elever som bodde på elevhemmet. Under sommaren 2000 uppstod problem i arbetet på grund av att det förekom olika uppfattningar om arbetsmetoderna och han blev omplacerad. Andra anställda och elever fick besked om omplaceringen innan han själv fick beskedet och han upplevde situationen som väldigt jobbig. Han fick hotfulla meddelanden på mobiltelefonen och från den 29 augusti 2000 blev han sjukskriven på grund av den arbetsrelaterade stressituationen. När han läste uppgifterna om sig själv på skolans hemsida kände han sig mycket kränkt. Han tolkade uppgifterna som att han ansågs ha samarbetssvårigheter och att han blev sjukskriven på grund av detta. Att han blev sjukskriven ansåg han vara en privat sak. Vid ett möte den 20 oktober 2000 med internatchefen, den administrativa chefen och representanter från facket framförde han att han uppfattade uppgifterna som kränkande och bad att uppgifterna skulle tas bort omgående. Han upprepade detta två gånger vid mötet eftersom det var viktigt för honom att uppgifterna togs bort. Uppgifterna låg kvar i minst två veckor efter att han bett om att de skulle tas bort. Han kontaktade polisen som hänvisade honom till Datainspektionen, varvid han fick rådet att göra en anmälan. Han slutade sedan på skolan efter att ha ingått ett avtal med företrädare för skolan, vilket avtal berättigade honom till en årslön i avgångsvederlag. Under hösten 2001 blev han kontaktad av företrädare för skolans ledning som ville få till stånd en uppgörelse för att avsluta alla mellanhavanden. Han var då orolig för att skolan inte skulle fullfölja avtalet och betala ut det överenskomna avgångsvederlaget, varför han gick med på att skriva under ett tilläggsavtal. Han åtog sig att och tog senare skriftligen tillbaka sin ifrågavarande anmälan samt gav i efterhand sitt samtycke till att uppgifterna hade lagts ut. - Han har inte innan uppgifterna lades ut på Internet tillfrågats om han samtyckte därtill och ej lämnat något samtycke till att uppgifterna skulle läggas ut på Internet.

Åklagaren har i anslutning till hörande med U.B. föredragit och åberopat följande anteckning från förhör hållet av polis med honom den 14 september 2001. ”U.B. tittade varje dag och såg att brevet låg kvar på Lundsbergsskolans hemsida på Internet. Det låg kvar minst i två veckor eller mer efter det att han sagt något om det vid mötet. U.B. vet inte vilket datum brevet togs bort.”

Hörd över åtalet har M.W. uppgett bland annat följande. Han är sedan 1997 ordförande i styrelsen för Stiftelsen Lundsbergs skola, vilket är ett ideellt uppdrag. Hösten år 2000 sade dåvarande rektorn på skolan upp sig och skolan stod utan fungerande skolledning. Vid månadsskiftet september-oktober 2000 gick han själv in i den operativa ledningen. Skolan går regelbundet ut med ett ordinarie informationsbrev till skolans kunder, föräldrarna, och även till intresserade före detta elever. Många av skolans före detta elever, 5 000 st., har ett stort engagemang för skolan. Brevet skickas per post men läggs även ut på Internet, eftersom många föräldrar befinner sig utomlands och kan vara svåra att få kontakt med per post. När något speciellt har hänt skickas ett extra ordinarie brev ut. Det föräldrabrev som lades ut på Internet den 9 oktober 2000 var ett extra brev som sändes ut eftersom det hade hänt mycket på skolan vid det tillfället. Brevet hade inte specifikt med U.B. att göra och uppgifterna om denne var av rent organisatorisk art. Det fanns vid det tillfället ingen utnämnd ansvarig för hemsidan utan ansvaret låg därför på styrelsen. Han var styrelsens ordförande. Ett utkast till brevet formulerades av honom och ledningen lämnade synpunkter. Han formulerade förmodligen själv det stycke som avsåg U.B. Brevet skrevs endast i syfte att informera föräldrarna. Han hade ingen tanke på att U.B. skulle kunna ta illa vid sig av uppgifterna i brevet. Några dagar efter det möte som hölls den 20 oktober 2000 kom det till hans kännedom att U.B. hade känt sig kränkt av de ifrågavarande uppgifterna. Han vet inte när brevet togs bort från hemsidan och vet inte heller hur det gick till rent tekniskt. Skolan anlitade då en webbyrå som skötte hanteringen av hemsidan.

På M.W:s begäran har vittnesförhör hållits med J.P., rektor och verksamhetschef vid Lundsbergs skola. Den 1 juli 2001 tillträdde han som verksamhetschef vid skolan. Han fick i uppdrag att slutföra den utredning som gällde U.B. Han fick fria händer att utföra uppdraget. Den 18 juli 2001 tecknade han ett avtal med U.B. angående anställningens upphörande, vilket berättigade U.B. till ett avgångsvederlag. Polisutredningen fortsatte dock och det låg i skolans och U.B:s intresse att få det hela avklarat. Han fick mandat av styrelsen att förhandla fram och ingå avtal med U.B. för att nå en lösning. Han kontaktade därför denne som också ville sätta punkt. De diskuterade en eventuell ersättning. Som tilllägg till avgångsavtalet tecknades ifrågavarande tilläggsavtal.

Tingsrättens bedömning

Av utredningen i målet framgår att M.W. bl.a. i sin egenskap av ordförande varit ansvarig för innehållet på Stiftelsen Lundsbergs skolas ifrågavarande hemsida. Vidare framgår att han formulerat brevet som var avsett att läggas ut på hemsidan. Han måste därmed och utifrån vad som i övrigt har framkommit anses uppsåtligen enligt åtalet ha låtit behandla ifrågavarande personuppgifter om U.B. Denne hade inte lämnat sitt samtycke därtill. Anledning har inte heller framkommit att uppfatta att M.W. hade anledning anta att så var fallet. Han har också varit införstådd med att uppgifterna genom att läggas ut på Internet både kunde och dessutom förmodades kunna komma att överföras till mottagare med adress i tredje land, på sätt som är förbjudet enligt 33 § personuppgiftslagen. Ifrågavarande uppgifter har inte varit något allmänt hållet uttalande om U.B. lämnat i anslutning till uppgifter om förhållanden beträffande personal i motsvarande ställning, utan uppgifter som rört dennes hälsa och som lämnats i sådant sammanhang att de klart framstår som ett påstående om att han till följd av samarbetssvårigheter omplacerats och att han bedömts ha nedsatt hälsa och sjukskrivits. Uppgifterna har dessutom lämnats i anslutning till återgivande av uppgifter om att U.B. uttalat sig i Nya Wermlands- Tidningen om vissa förhållanden på skolan. Uppgifterna måste vid dessa förhållanden vara att bedöma som sådana känsliga uppgifter som avses med bestämmelsen i 13 § 2 st. personuppgiftslagen. Uppgifterna måste dessutom bedömas vara sådana, att de omfattas av förbudet i 33 § samma lag. M.W. har därmed brutit mot bestämmelsen i 13 § 2 st. och 33 §personuppgiftslagen. Fråga kan vid ifrågavarande omständigheter inte vara om ringa fall. Att M.W. inte har uppburit lön eller arvode för sitt uppdrag och att fråga varit om uppdrag i en stiftelse som inte bedrivs med något vinstsyfte kan inte medföra att ifrågavarande bestämmelser inte skall tillämpas beträffande honom, då fråga varit om uppgifter som lämnats om en anställd i skolans verksamhet som innefattar yrkesmässigt bedriven utbildning. Något stöd för att ett i efterhand lämnat samtycke skulle vara att beakta finns inte i den tillämpade lagstiftningen och strider dessutom mot vad som är allmänt vedertaget i den strafflagstiftning som är i fråga. Åtalet är alltså styrkt. Gärningarna är att bedöma som brott enligt vad som angetts. Att uppgifterna funnits kvar en tid på hemsidan även efter påtalande är försvårande.

Påföljdsfrågan

M.W. har alltså uppsåtligen gjort sig skyldig till brott mot personuppgiftslagen. Utifrån brottets allvar kan mer ingripande påföljd inte anses påkallad än ett bötesstraff, som med hänsyn till de försvårande omständigheterna bör vara någorlunda högt. Vad som framkommit och påtalats av M.W. om förmodade försämrade ekonomiska förhållanden utgör inte tillräckliga skäl för jämkning av dagsboten. Påföljden bestäms därmed till dagsböter till ett antal av 80 om 1 000 kr.

Domslut

Domslut

Tingsrätten dömde M.W. enligt 13 § 2 st. och 33 § samt 49 § 1 st. b) och c) personuppgiftslagen (1998:204) för brott mot personuppgiftslagen till 80 dagsböter å 1 000 kr.

Hovrätten för Västra Sverige

M.W. överklagade i Hovrätten för Västra Sverige och yrkade ogillande av åtalet eller, i andra hand, nedsättning av antalet dagsböter.

Åklagaren bestred ändring.

Hovrätten (hovrättsrådet Kent Sundqvist, rådmannen Marianne Stenberg och tf. hovrättsassessorn Sonja Huldén) meddelade den 25 juni 2003 följande dom:

Hovrätten fastställer tingsrättens dom.

Högsta domstolen

M.W. överklagade och yrkade att HD skulle frikänna honom för ansvar eller, i andra hand, sätta ned bötesstraffet.

Riksåklagaren bestred ändring.

Betänkande

Målet avgjordes efter föredragning.

Föredraganden, rev.sekr. Monica Ericsson, föreslog i betänkande följande dom:

Domskäl

Domskäl

M.W. har - - - se HD:s dom - - - samma år.

I målet uppkommer frågor om hur personuppgiftslagen (1998:204) skall tolkas i olika avseenden. HD skall ta ställning till 1) om ett i efterhand lämnat samtycke till behandlingen av personuppgifter har betydelse vid den straffrättsliga bedömningen, 2) om de personuppgifter som M.W. har låtit behandla på Lundsbergs skolas hemsida är av det slaget att de är att betrakta som känsliga i personuppgiftslagens mening, 3) om de aktuella personuppgifterna på ett olagligt sätt har överförts till tredje land, och 4) om gärningen - för det fall att HD finner att M.W. har överträtt bestämmelser i personuppgiftslagen - är att betrakta som ringa.

M.W. var vid den aktuella tiden ordförande i styrelsen för Stiftelsen Lundsbergs skola, ordförande i ledningsgruppen för skolan samt ansvarig för innehållet på skolans hemsida på Internet. Enligt 3 § personuppgiftslagen är det den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter som är den personuppgiftsansvarige. När en juridisk person inom sin verksamhet bedriver en viss behandling av personuppgifter, bör den juridiska personen betraktas som personuppgiftsansvarig. Genom interna regler kan sedan någon befattningshavare utses att i första hand se till att de behandlingar som genomförs sker i överensstämmelse med lagen. Det är då denna person som bär det straffrättsliga ansvaret för eventuella överträdelser av bestämmelserna (jfr Öman/Lindblom, Personuppgiftslagen. En kommentar, andra upplagan, 2001 s. 55). Eftersom M.W. har varit den som för stiftelsens räkning har ansvarat för innehållet på skolans hemsida, har han varit skyldig att se till att de personuppgifter som har lagts ut där har behandlats på ett lagenligt sätt. Det innebär att han också bär det straffrättsliga ansvaret för eventuella överträdelser av bestämmelserna. När det gäller det brev innehållande personuppgifter som åtalet avser är det dessutom M.W. som har formulerat detta, med avsikt att det skulle läggas ut på skolans hemsida. Han måste därför anses ha handlat med uppsåt i fråga om såväl behandlingen som sådan och uppgifternas innehåll. Frågan är då om hans handlande innebär att personuppgiftslagens bestämmelser har överträtts.

Genom personuppgiftslagen har Sverige genomfört Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet). I stort sett följer personuppgiftslagen den struktur som direktivet har, och det är i huvudsak samma begrepp som återfinns i lagen som i direktivet. Den tolkning som skall göras av personuppgiftslagen har i hög grad förutsetts bli beroende av hur EG-domstolen tolkar de olika begrepp som förekommer i direktivet. Regeringen avstod därför från att göra egna tolkningar av dessa i samband med personuppgiftslagens tillkomst (prop. 1997/98:44 s. 38).

Dataskyddsdirektivets syfte är att fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, skall skyddas i samband med behandling av personuppgifter (artikel 1). I 1 § personuppgiftslagen har detta uttryckts så att syftet med lagen är att skydda människor mot att deras personliga integritet kränks. För att motverka sådana kränkningar bör den enskildes vilja respekteras så långt det är möjligt. Den person som personuppgifterna avser (den registrerade) skall därför ha lämnat sitt samtycke för att uppgifter om honom skall få behandlas, såvida inte någon av de undantagssituationer som lagen föreskriver om föreligger. Möjligheterna att i avsaknad av den registrerades samtycke behandla uppgifter är mer begränsade i fråga om personuppgifter som enligt 13 § personuppgiftslagen är att beteckna som känsliga än i fråga om andra uppgifter.

Om U.B. har lämnat sitt samtycke till den behandling av personuppgifter som åtalet avser har behandlingen varit tillåten, oavsett om personuppgifterna är att beteckna som känsliga eller inte. Det bör därför först prövas om U.B. i lagens mening har samtyckt till att uppgifterna om honom lades ut på skolans hemsida på Internet.

M.W. menar att det avtal som den 11 oktober 2001 träffades mellan U.B. och Stiftelsen Lundsbergs skola, i vilket U.B. i efterhand har samtyckt till publiceringen av uppgifter om honom på hemsidan, innebär att ett i sammanhanget giltigt samtycke har lämnats. Av den definition som finns i 3 § personuppgiftslagen framgår att det - för att vara fråga om ett samtycke i lagens mening - krävs att den viljeyttring varigenom den registrerade godtar behandlingen skall lämnas efter det att den registrerade har fått information. Av 10 § personuppgiftslagen, som anger när behandling av personuppgifter över huvud taget är tillåten, kan det utläsas att en behandling av personuppgifter inte får företas om inte den registrerade har lämnat sitt samtycke såvida inte någon av undantagssituationerna är för handen. Av lagens ordalydelse följer därmed att det samtycke som U.B. lämnat i efterhand saknar betydelse för frågan om behandlingen av personuppgifterna varit tillåten eller inte, och för den straffrättsliga bedömningen.

För att avgöra om det har varit nödvändigt att inhämta U.B:s samtycke måste en bedömning först göras av om uppgifterna är sådana att de omfattas av lagens definition av ”känsliga uppgifter”.

Vilka uppgifter som betecknas som känsliga framgår av 13 § personuppgiftslagen. Där anges att det är förbjudet att behandla personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, eller medlemskap i fackförening, samt personuppgifter som rör hälsa eller sexualliv. Uppräkningen är uttömmande och det kan således finnas personuppgifter som i hög grad framstår som integritetskränkande som faller utanför lagens definition av känsliga uppgifter. Det som är aktuellt att pröva här är närmast om uppgifterna om att U.B. har haft samarbetssvårigheter och blivit sjukskriven är uppgifter som rör hälsa.

Bestämmelsen i 13 § personuppgiftslagen har sin motsvarighet i artikel 8 i dataskyddsdirektivet. Enligt EG-domstolen skall uppgifter som rör hälsa med hänsyn till direktivets syfte ges en vid tolkning och anses omfatta uppgifter som rör alla aspekter, såväl fysiska som psykiska, av en persons hälsa (dom av den 6 november 2003 i mål C 101-01, p. 50). I det brev som lades ut på Lundsbergs skolas hemsida den 9 oktober 2000 berättades bl.a. att U.B. omplacerats på grund av samarbetssvårigheter med elever och föräldrar samt att han blivit sjukskriven. En enskild uppgift om att någon har samarbetssvårigheter torde i sig inte vara att betrakta som en uppgift som rör vederbörandes fysiska eller psykiska hälsa. En uppgift om att någon är sjukskriven säger däremot onekligen något om personens hälsotillstånd, i vid bemärkelse. Uppgifterna bör dock inte ses lösryckta, utan avgörande bör vara hur de uppfattas i sitt sammanhang. För läsaren av det aktuella brevet måste det rimligen ha framstått som om samarbetssvårigheterna har haft ett samband med sjukskrivningen. Uppgifterna bör därför bedömas tillsammans och måste sammantagna anses vara sådana som rör hälsa. De skall därmed betraktas som känsliga i personuppgiftslagens mening.

Om inte den registrerade på ett tydligt sätt har offentliggjort uppgifterna - vilket här inte är fallet - krävs enligt 15 § personuppgiftslagen att den registrerade har lämnat sitt samtycke för att behandlingen av känsliga personuppgifter skall vara tillåten. Några ytterligare undantag från kravet på samtycke finns i 16-19 §§, men ingen av dessa bestämmelser är tillämplig i målet. Inte heller har några föreskrifter som här är av intresse meddelats med stöd av bestämmelsen i 20 §, som kräver att undantaget behövs med hänsyn till ett allmänt intresse.

I avsaknad av U.B:s samtycke har således M.W. på ett otillåtet sätt uppsåtligen låtit behandla personuppgifter rörande U.B:s hälsa på Lundsbergs skolas hemsida, och därmed handlat i strid med 13 § personuppgiftslagen.

Åtalet omfattar även att M.W. genom sitt handlande har överfört personuppgifter till tredje land i strid med 33 § personuppgiftslagen. I den dom från EG-domstolen som nämnts ovan gjordes uttalanden som är av intresse även i denna fråga. Domstolen konstaterade där att det inte är fråga om någon överföring av uppgifter till tredje land när en person som befinner sig i en medlemsstat lägger ut personuppgifter på en hemsida på Internet som är lagrad hos en fysisk eller juridisk person som har den webbplats där man kan komma åt sidan och som är etablerad i samma medlemsstat eller i annan medlemsstat, varvid uppgifterna blir åtkomliga för alla som kopplar upp sig på Internet, inklusive personer i tredje land (se a. dom p. 71).

Som tredje land avses enligt 3 § personuppgiftslagen ett land utanför EU eller EES-området. Att den som tillhandahåller den servertjänst där Lundsbergs skolas hemsida är lagrad skulle vara etablerad i tredje land har inte påståtts. Mot bakgrund av EG-domstolens tolkning av begreppet överföring skall därmed åtalet avseende brott mot 33 § personuppgiftslagen ogillas.

Den fråga som då uppkommer är om M.W:s överträdelse av 13 § personuppgiftslagen är att betrakta som ringa och därmed straffri enligt 49 § andra stycket. I bedömningen skall samtliga omständigheter beaktas, och alla faktorer - såsom uppgifternas art och vilken integritetskränkning eller risk för integritetskränkning som behandlingen orsakat - skall vägas in (prop. 1999/ 2000:11 s. 21). Vad som talar för att det här skulle vara fråga om ett ringa fall är att det varit fråga om ett fåtal uppgifter och att syftet med publiceringen i första hand varit att tillgodose föräldrars berättigade intresse av att få aktuell information om verksamheten på skolan. Å andra sidan är det fråga om uppgifter som sammantagna har inneburit en icke obetydlig integritetskränkning för U.B. Uppgifterna har funnits på hemsidan under närmare fyra veckors tid, och de har inte omedelbart tagits bort trots att U.B. vid ett möte den 20 oktober 2000 begärde att så skulle ske. En samlad bedömning av omständigheterna leder fram till att gärningen inte kan betraktas som ringa.

M.W. skall således dömas enligt 49 § första stycket b) för brott mot 13 § personuppgiftslagen. Straffet bör bestämmas till 40 dagsböter.

Domslut

Domslut

Se HD:s dom.

Domskäl

HD (justitieråden Munck, Lennander, Dahllöf och Nyström, referent) meddelade den 26 maj 2005 följande dom:

Domskäl

M.W. har på Stiftelsen Lundsbergs skolas hemsida på Internet, i ett brev som i första hand riktat sig till föräldrar till barn på skolan, låtit föra in vissa personuppgifter om U.B. Av brevet framgick bl.a. att U.B. arbetat som husfar på skolan sedan hösten 1999, att han på grund av samarbetssvårigheter med elever och föräldrar omplacerats till ett annat elevhem samt att han sedan någon vecka tillbaka var sjukskriven. Uppgifterna fanns att läsa på hemsidan i vart fall från den 9 oktober 2000 till den 4 november samma år.

Åtalet mot M.W. avser ansvar enligt 49 § personuppgiftslagen (1998:204) för att han genom att lägga ut uppgifterna på hemsidan dels överfört personuppgifter till tredje land i strid med 33-35 §§personuppgiftslagen och dels behandlat s.k. känsliga personuppgifter angående hälsa i strid med 13 §.

Personuppgiftslagen har tillkommit till genomförande av Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. I sina grundläggande delar är lagen avsedd att tolkas och tillämpas i överensstämmelse med direktivet.

När det gäller frågan om överföring av personuppgifter till tredje land har EG-domstolen i dom den 6 november 2003 i mål C-101/01 (det s.k. konfirmandlärarmålet) slagit fast att det inte föreligger någon ”överföring av … uppgifter till tredje land” i den mening som avses i artikel 25 i direktiv 95/46/EG när en person som befinner sig i en medlemsstat lägger ut personuppgifter på en hemsida på Internet och den som tillhandahåller servertjänsten är etablerad i samma medlemsstat eller i en annan medlemsstat, oberoende av att uppgifterna blir åtkomliga för alla som kopplar upp sig på Internet, inklusive personer i tredje land. Bestämmelserna om överföring av personuppgifter till tredje land i personuppgiftslagen skall tolkas på samma sätt som bestämmelserna i direktivet. Det har i målet inte framförts några omständigheter som skulle kunna ge anledning att anse att den nu aktuella utläggningen av uppgifter inte skulle falla in under den av EG-domstolen redovisade tolkningen av direktivet. Åtalet mot M.W. såvitt detta avser överförande av personuppgifter till tredje land skall därför ogillas.

Vad därefter gäller frågan om behandling av personuppgifter angående hälsa slog EG-domstolen i den nyss nämnda domen fast att en uppgift om att en person skadat sin fot och var deltidssjukskriven utgjorde en personuppgift om hälsa i den mening som avses i artikel 8.1 i direktivet. För läsaren av det i förevarande mål aktuella brevet måste det rimligen ha framstått som om uppgiften om U.B:s samarbetssvårigheter hade ett samband med uppgiften om sjukskrivningen. Uppgifterna får därför bedömas tillsammans och måste sammantagna anses vara sådana som rör hälsa. Direktivet motsvaras i nu aktuellt avseende av 13 § andra stycket i personuppgiftslagen. Genom att lägga ut dessa uppgifter på en hemsida på Internet har således M.W. behandlat sådana känsliga personuppgifter som avses i denna bestämmelse.

M.W. har gjort gällande att behandlingen inte skulle stå i strid med förbudet i 13 § då U.B. lämnat samtycke till behandlingen (jfr 15 §). Samtycket har emellertid lämnats i efterhand och innebär därmed inte att behandlingen varit tillåten. M.W. har således behandlat personuppgifter i strid med 13 §.

Den fråga som då uppkommer är om M.W:s överträdelse av 13 § personuppgiftslagen är att anse som ringa och därmed straffri enligt 49 § andra stycket. Detta får bedömas med hänsyn till samtliga omständigheter i det enskilda fallet. Alla faktorer, såsom uppgifternas art och vilken integritetskränkning eller risk för integritetskränkning som behandlingen orsakat, skall vägas in vid bedömningen av om en överträdelse är att betrakta som ringa (prop. 1999/2000:11 s. 21).

M.W:s överträdelse avser ett fåtal uppgifter och syftet med publiceringen har i första hand varit att tillgodose föräldrars berättigade intresse av information om barnens skola. Sammantagna har emellertid uppgifterna inneburit en inte obetydlig integritetskränkning för U.B. Uppgifterna har funnits på hemsidan under närmare fyra veckors tid och de har inte omedelbart tagits bort på U.B:s begäran. Vid en samlad bedömning, som innefattar en avvägning mellan yttrandefrihetens intresse och den enskildes intresse av skydd för privatlivet (jfr EG- domstolens ovan nämnda dom), kan gärningen inte anses ringa.

M.W. skall således dömas enligt 49 § första stycket b) för brott mot 13 § personuppgiftslagen. Bötesstraffet bör med hänsyn till att åtalet delvis ogillas sättas ned.

Domslut

Domslut

HD ändrar hovrättens dom på det sättet att åtalet såvitt avser 33 § och 49 § första stycket c)personuppgiftslagen ogillas och påföljden bestäms till 40 dagsböter å 1 000 kr.

Skiljaktig

Justitierådet Victor var skiljaktig och anförde:

På de av majoriteten anförda grunderna anser jag att åtalet skall ogillas såvitt detta avser överförande av personuppgifter till tredje land. Jag delar också uppfattningen att M.W. genom sitt förfarande behandlat personuppgifter i strid mot 13 § personuppgiftslagen (1998:204). Däremot har jag en annan uppfattning när det gäller frågan om det åtalade förfarandet i denna del utgör ett sådant ringa fall som enligt 49 § andra stycket faller utanför det straffbara området.

Genom att publicera det aktuella brevet på skolans hemsida har M.W. spritt uppgifterna att U.B. haft samarbetssvårigheter och blivit sjukskriven. Det är i och för sig lätt att förstå att spridning av sådana uppgifter - oavsett i vilken form det sker - kan uppfattas som ett intrång i den personliga integriteten. För att förfarandet skall kunna föranleda straffansvar krävs emellertid härutöver att det finns klart stöd för detta i lag.

I motsats till många andra länder har Sverige inte någon generell lagstiftning som tar sikte på skyddet för den personliga integriteten. Däremot finns åtskilliga bestämmelser som kan sägas ge skydd för olika särskilda aspekter av den personliga integriteten (se närmare i t.ex. direktiven [dir. 2004:51] till den utredning om skyddet för den personliga integriteten som tillsattes år 2004). När det gäller spridning av uppgifter av det slag som är aktuella i detta mål torde det närmast vara straffbestämmelserna om förtal i BrB och TF (jfr även 5 kap. 1 § YGL) som under vissa förutsättningar skulle kunna vara tillämpliga. Bestämmelserna om förtal gäller i princip oavsett i vilken form de uppgifter som åtalet avser har lämnats. Om förutsättningar i övrigt föreligger för detta skall alltså även förfaranden som omfattas av personuppgiftslagens tillämpningsområde bedömas som förtal helt oberoende av om förfarandet är eller inte är straffbart också enligt personuppgiftslagen. Det förtjänar i sammanhanget att nämnas att uppgifter om exempelvis samarbetssvårigheter inte i sig utgör känsliga personuppgifter i den mening som avses i 13 § personuppgiftslagen och att behandling av sådana uppgifter därför också faller utanför tillämpningsområdet för lagens straffbestämmelse även om förfarandet skulle framstå som djupt integritetskränkande.

I målet har inte påståtts att publiceringen av uppgifterna skulle stå i strid med någon annan lagstiftning utan ansvarspåståendet grundar sig helt på att fråga varit om sådan behandling av personuppgifter som faller under personuppgiftslagens tillämpningsområde. Frågan om förfarandet skall anses vara ett ringa fall skall enligt min mening under sådana förhållanden inte besvaras med utgångspunkt i en mer allmän bedömning av graden av integritetsintrång utan utifrån det särskilda skyddsintresse som ligger bakom lagen och dess straffbestämmelse (jfr näst sista stycket i HD:s domskäl i NJA 2001 s. 409).

Det finns i den delen anledning att betona att lagen, i likhet med det bakomliggande direktivet, primärt avser förandet av register som inte är av privat natur och hanteringen av sådana register. Det står också klart att registerhållning och registerhantering innefattar särskilda integritetsproblem, inte minst mot det för direktivet grundläggande syftet att garantera ett fritt flöde av personuppgifter mellan medlemsstaterna. Lagen, liksom direktivet, har emellertid inte begränsats till registerhantering utan omfattar därutöver även sådan behandling av personuppgifter som helt eller delvis är automatiserad. Att också sådan behandling omfattas hänger uppenbarligen samman med de möjligheter som den moderna tekniken ger till systematisk sökning även inom material som inte ordnats i registerform. Syftet med lagen måste anses vara att bereda skydd mot de särskilda former av integritetskränkning som just registerhållning och automatiserad personuppgiftsbehandling kan medföra.

Användningen av datorer och Internet, och därmed också den automatiserade personuppgiftsbehandlingen, har ökat alltmer i vårt samhälle. Till mycket stor del är det emellertid fråga om en användning där den digitala teknikens speciella möjligheter till strukturering och spridning av personuppgifter inte utnyttjas. Att så inte sker utesluter dock inte att personuppgiftslagen är tillämplig. Det särskilda skyddsintresse som straffbestämmelsen i lagen får anses ha gör sig dock i sådana sammanhang inte gällande.

I det i detta mål aktuella fallet är det fråga om ett par uppgifter i löpande text i ett brev. Uppgifterna har inte ingått i eller varit avsedda att ingå i en samling av personuppgifter som har strukturerats för att sammanställa eller underlätta sökning efter just personuppgifter. Enligt min mening måste under sådana förhållanden den överträdelse av bestämmelsen i 13 § som utläggningen på hemsidan utgjort anses vara ett sådant ringa fall som är undantaget från straffansvar. Åtalet skall därför ogillas även i denna del.

HD:s dom meddelad: den 26 maj 2005.

Mål nr: B 3042-03.

Lagrum: 13 §, 33 § samt 49 § 1 st. b) och c) och 2 st. personuppgiftslagen (1998:204).