RÅ 2008:83

Behandling av biometriska data i form av fingeravläsning i samband med skolmåltider har ansetts kräva samtycke för att vara tillåten enligt personuppgiftslagen.

Datainspektionen konstaterade i beslut den 13 januari 2005 att den behandling av personuppgifter som utfördes vid gymnasieskolan i Uddevalla i samband med avläsning av elevers fingrar för att identifiera de elever som får äta den mat som serveras i skolans matsal strider mot de grundläggande kraven i 9 § e) och f) personuppgiftslagen (1998:204). Datainspektionen förelade Barn- och utbildningsnämnden i Uddevalla kommun att upphöra med behandlingen. Inspektionen lämnade följande redogörelse för tillsynsärendet. Datainspektionen har uppmärksammats på att gymnasieskolan i Uddevalla registrerar mätpunkter från elevernas fingrar elektroniskt. Med anledning av detta har Datainspektionen inlett tillsyn mot Barn- och utbildningsnämnden i Uddevalla kommun (nämnden), som yttrat sig i ärendet. Av nämndens yttrande framgår i huvudsak följande. Gymnasieskolan i Uddevalla använder så kallade tallriksautomater med fingeravläsning. Ändamålet med systemet är att identifiera de elever som får äta den mat som serveras i skolans matsal. Skolmat serveras i fyra av gymnasieskolans hus. I tre av dessa sker identifiering med hjälp av fingeravläsning, i det fjärde huset används i stället magnetkort. Systemet med fingeravläsning fungerar på följande sätt. Eleven måste slå in sin personliga fyrsiffriga kod och låta läsa av sitt finger för att få ut en tallrik ur en tallriksautomat. Cirka 30 mätpunkter skannas in från ett av elevens fingrar. Dessa mätpunkter generar en fil på 256 byte, ett helt fingeravtryck skulle kräva en fil på cirka en megabyte. Hela fingeravtrycket registreras således inte. Avtrycket ger, enligt uppgift från leverantören av systemet, ingen bild av fingret och data kan inte skrivas ut. Mätpunkterna lagras tillsammans med den personliga koden i en separat databas. I en annan databas lagras elevens tilltalsnamn, klass och den personliga koden. I denna databas finns också information om maximalt antal måltider per termin som eleven har rätt att äta samt antalet förbrukade måltider. Varje matsal har sin egen databas. Om en elev äter i två matsalar måste han eller hon registreras på båda ställena. Uppgifterna lagras i en dator som enbart används för detta ändamål. Datorn finns i ett särskilt personalutrymme. Enbart utsedda personer har tillgång till systemet, som kräver personlig inloggning för åtkomst. Alla elever registreras i årskurs 1 och finns kvar i registret under sin tid på skolan, det vill säga normalt tre år. Varje elev får alltså ett "konto för skolmat" och de elever som inte skall äta avaktiveras i systemet. Det är enklast att registrera alla elever enligt befintliga klasslistor eftersom de allra flesta eleverna äter skolmat. Om en elev slutar eller inte betalar avgiften avaktiveras elevens konto. I augusti varje år tas avgående elever bort från registret och nya registreras. Uppgifter om elever som har slutat sparas inte. Användandet av fingeravläsning är väl känt inom skolans upptagningsområde. Systemet har tillämpats i kommunen sedan hösten 1997 efter tillstånd från Datainspektionen. Någon särskild information till elever eller föräldrar sker inte. Samtycke inhämtas inte heller. Under åren har enbart enstaka elever vägrat denna registrering. De har då hänvisats till att köpa lösa matkuponger, vilka är något dyrare. Datainspektions skäl för beslutet. Enligt Datainspektionens bedömning utgör de uppgifter som samlas in och behandlas automatiserat om eleverna vid gymnasieskolan i Uddevalla personuppgifter och personuppgiftslagen är därför tillämplig. Datainspektionen har bland annat som mål att säkerställa att behandling av personuppgifter inte medför otillbörligt intrång i den personliga integriteten. Målet skall uppnås utan att användningen av teknik onödigt förhindras eller försvåras samtidigt som behandlingen av personuppgifter inte får utföras i strid med bestämmelserna i personuppgiftslagen. Av de grundläggande kraven i 9 § personuppgiftslagen följer av punkten c) att den personuppgiftsanvarige skall se till att personuppgifter bara samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Av punkten e) samma paragraf framgår att den personuppgiftsansvarige skall se till att de uppgifter som behandlas är adekvata och relevanta i förhållande till ändamålet med behandlingen och av punkten f) följer att inte fler personuppgifter får behandlas än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Den arbetsgrupp som inrättats enligt artikel 29 i dataskyddsdirektivet (den så kallade 29-gruppen), och som är EU:s oberoende rådgivande instans för dataskydd och skydd av privatlivet, har antagit ett arbetsdokument om biometri som syftar till att bidra till en effektiv och enhetlig tillämpning av de nationella bestämmelserna om dataskydd inom EU (12168/02/SV WP 80). 29-gruppen har i detta dokument uttalat bland annat följande. "En fara i samband med biometrisk databehandling är i synnerhet att en ökad användning av biometriska uppgifter kan medföra att allmänheten blir mindre uppmärksam på hur behandlingen av dessa uppgifter kan påverka deras vardag. Om biometri används i skolbibliotek till exempel, kan det leda till att barnen blir mindre medvetna om de risker rörande dataskydd som de eventuellt utsätts för senare i livet." Även om det i ärendet inte är fråga om att registrera fullständiga fingeravtryck och dessa uppgifter inte är att betrakta som känsliga enligt personuppgiftslagen kan registreringen uppfattas som ett intrång i den personliga integriteten. Kontrollen kan vidare genomföras på ett för eleverna mindre integritetskänsligt sätt utan att deras fingrar läses av. Mot denna bakgrund och med hänsyn till 29-gruppens uttalande ovan bedömer Datainspektionen därför att den behandling av personuppgifter som utförs vid gymnasieskolan i Uddevalla i samband med avläsning av elevers fingrar för att identifiera de elever som får äta den mat som serveras i skolans matsal strider mot de grundläggande kraven i 9 § e) och f) personuppgiftslagen.

Länsrätten i Stockholms län

Barn- och utbildningsnämnden i Uddevalla kommun överklagade Datainspektionens beslut och yrkade att länsrätten skulle upphäva beslutet i sin helhet. Till stöd för sin talan anförde nämnden bl.a. följande. I motiveringen till det överklagade beslutet hänvisas till 29-gruppens rädsla för att medvetenheten skulle minska om de risker rörande dataskydd som barnen skulle kunna utsättas för senare i livet. Enligt nämndens uppfattning kan inte denna allmänna risk mätas in i frågan om fingeravläsningen utgör ett intrång i den personliga integriteten eller inte. Dessutom utgörs den registrerade gruppen inte av små barn utan av ungdomar med en begynnelseålder på 15-16 år. Nämnden gör gällande att registreringen är adekvat och relevant för att kunna kontrollera att endast de elever som betalt måltidsavgiften äter i matsalen. En sådan kontroll skulle kunna göras på ett flertal sätt men säkerheten i systemet är viktig. Är systemet inte säkert skulle det kunna medföra att den som inte betalat måltidsavgift tillgodogör sig betalande elevs rätt, genom att förfalska namnteckning, lura/tvinga till sig kod etc. beroende på vilket annat system som skulle kunna vara aktuellt. I första hand anser man att något samtycke till registreringen inte behövs eller - om uppgifterna trots allt skulle anses kränka den personliga integriteten - att intresset för nämnden att kunna kontrollera att endast de som erlagt betalning äter i matsalen måste anses väga tyngre än den registrerades intresse av skydd mot sådan kränkning. Uddevalla kommun har 3 679 studerande på gymnasiet varav 3 231 betalar för maten. Måltidsavgiften är 1 750 kr per år. Intäkterna och det stora antal som ändå inte väljer att inta lunch i skolmatsalen berättigar ett säkert och tillförlitligt kontrollsystem. Om samtycke skulle krävas anser nämnden att då systemet med fingeravläsning är allmänt känt bör samtycke till registrering kunna lämnas samtidigt som terminsavgiften för skolmåltid erläggs.

Domskäl

Länsrätten i Stockholms län (2005-03-02, ordförande Knutsson) yttrade: I 1 § personuppgiftslagen anges att syftet med lagen är att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. - Av 3 § personuppgiftslagen framgår bl.a. att med personuppgifter avses all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet och med behandling (av personuppgifter) avses varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte, t.ex. insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring. - Av 9 § personuppgiftslagen framgår de grundläggande kraven på behandling av personuppgifter. Den personuppgiftsansvarige skall bl.a. se till att (---) e) de personuppgifter som behandlas är adekvata och relevanta i förhållande till ändamålen med behandlingen, f) inte fler personuppgifter behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen, (---) - Länsrätten gör följande bedömning. I likhet med Datainspektionen finner länsrätten att personuppgiftslagen är tillämplig på förevarande automatiserade behandling av personuppgifter i form av partiella fingeravtryck. Frågan i målet är i vilken mån de grundläggande kraven på behandling av personuppgifter i enlighet med personuppgiftslagen är uppfyllda. - Av 9 § e) följer att de personuppgifter som behandlas skall vara adekvata och relevanta i förhållande till ändamålen med behandlingen. Enligt 9 § f) får inte fler personuppgifter behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen. - Ändamålet med behandlingen av de partiella fingeravtrycken är att identifiera och registrera de elever som får äta den mat som serveras i tre av skolans fyra matsalar för att på så sätt förhindra att obehöriga äter i matsalarna. Länsrätten anser att detta bör kunna tillgodoses på ett enklare och mindre integritetskränkande sätt än genom att partiella fingeravtryck används som identifieringsmetod. De behandlade uppgifterna kan därmed inte anses adekvata, relevanta eller nödvändiga i förhållande till ändamålen med behandlingen. Datainspektionen har alltså haft fog för sitt föreläggande och överklagandet skall därför avslås. - Länsrätten avslår överklagandet.

Kammarrätten i Stockholm

Uddevalla kommun överklagade länsrättens dom hos kammarrätten.

Datainspektionen bestred bifall till överklagandet och anförde bl.a. följande. Inspektionen vitsordar att kommunen har ett intresse av att kontrollera att endast de som erlagt betalning äter i matsalen. Det betyder emellertid inte att kontrollen måste innefatta behandling av biometriska uppgifter. Andra system för identifiering innebär inte nödvändigtvis att säkerheten blir lidande. Biometriska uppgifter, t.ex. fingeravtryck, härrör från kroppen och är unika för varje individ. Detta möjliggör en unik och livslång identifiering av en person. Biometriska uppgifter innehåller ofta mer uppgifter än vad som är nödvändigt för identifiering. Även om det i ärendet inte är fråga om att registrera fullständiga fingeravtryck och dessa uppgifter inte är att betrakta som känsliga enligt personuppgiftslagen kan registreringen uppfattas som ett intrång i den personliga integriteten. En registrering av biometriska uppgifter för det aktuella ändamålet innebär ett onödigt integritetsintrång genom att den avsedda kontrollen går att genomföra på ett mindre ingripande sätt. För den händelse kammarrätten skulle finna att behandlingen är tillåten enligt 9 § personuppgiftslagen och prövar frågan om samtycke hänvisas till den skiljaktiga meningen i tillsynsärendet mot Barn- och utbildningsnämnden i Vetlanda kommun (Datainspektionens beslut den 15 juni 2004, dnr 42-2004). I denna situation anser inspektionen således att samtycke måste inhämtas för att behandlingen skall vara tillåten. För att samtycket skall vara giltigt måste eleverna få information i enlighet med 25 § personuppgiftslagen. Eftersom ett giltigt samtycke kräver att det finns alternativa rutiner för den som inte vill låta sitt finger avläsas kan samtycke svårligen inhämtas genom att terminsavgiften för skolmåltid erläggs. Däremot bör samtycke kunna inhämtas i samband med detta.

Domskäl

Kammarrätten i Stockholm (2005-11-01, Heckscher, Wahling Bexhed) yttrade: Kammarrätten gör samma bedömning som underinstanserna att personuppgiftslagen är tillämplig i förevarande fall. - Mot bakgrund av vad som framkommit om systemet med fingeravläsning vid skolluncherna i gymnasieskolan finner kammarrätten att Uddevalla kommun uppfyller de grundläggande kraven på behandling av personuppgifter i 9 § personuppgiftslagen. Datainspektionens hänvisning i sitt beslut till att fingeravläsningen, dvs. användandet av biometriska uppgifter, riskerar att göra barn mindre medvetna om de risker rörande dataskydd som de eventuellt senare utsätts för i livet förändrar inte denna bedömning, särskilt då det visserligen är fråga om barn men ändå gymnasieelever som är omkring 15 år och äldre. - Därmed uppkommer frågan om det krävs samtycke enligt 10 § personuppgiftslagen till behandlingen av personuppgifterna i form av partiella fingeravtryck. I 10 § personuppgiftslagen regleras de situationer när behandlingen av personuppgifter är tillåten utan samtycke. Punkterna a) - e) i bestämmelsen är inte aktuella här. Frågan är då om behandlingen av personuppgifterna är tillåten med stöd av 10 § f) personuppgiftslagen. Enligt 10 § f) personuppgiftslagen är behandlingen av personuppgifter tillåten utan samtycke om behandlingen är nödvändig för att ett ändamål som rör ett berättigat intresse hos den personuppgiftsansvarige skall kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten. - Vid en avvägning mellan kommunens behov av ett smidigt och enkelt system att kontrollera att endast de elever som betalat måltidsavgift får del av skolmåltiderna och elevernas intresse av skydd mot kränkning av den personliga integriteten finner kammarrätten att den aktuella personuppgiftsbehandlingen inte utgör något nämnvärt intrång i den personliga integriteten, varför kommunens intresse av systemet väger tyngre än elevernas. Kommunens behandling av personuppgifterna är därför tillåten utan att samtycke inhämtas. - Kammarrätten bifaller överklagandet samt upphäver länsrättens dom och Datainspektionens beslut.

T.f. assessorn Johansson, referent, var skiljaktig vad avsåg frågan om samtycke krävs för behandlingen av personuppgifterna och anförde. - Enligt 10 § personuppgiftslagen får personuppgifter behandlas bara om den registrerade lämnat sitt samtycke till behandlingen om inte något av undantagen i a)-f) är uppfyllda. Punkterna a)-e) i bestämmelsen är inte aktuella i målet. Frågan är då om behandlingen av personuppgifterna är tillåten utan samtycke enligt 10 § f) personuppgiftslagen. Enligt 10 § f) personuppgiftslagen får behandling ske utan samtycke om behandlingen är nödvändig för att ett ändamål som rör ett berättigat intresse hos den personuppgiftsansvarige skall kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten. En avvägning skall således göras mellan kommunens intresse av att behandla personuppgifterna för att möjliggöra ett säkert och enkelt kontrollsystem för skolmåltiderna och elevernas intresse av skydd för sin personliga integritet. Jag finner vid sådan avvägning att kommunens intresse av att behandla de aktuella personuppgifterna inte kan anses väga tyngre än elevernas intresse av skydd för sin personliga integritet. Kommunens behandling av personuppgifter i form av partiella fingeravtryck kan därmed enligt min mening tillåtas endast om samtycke inhämtas från de registrerade eller deras vårdnadshavare.

Regeringsrätten

Datainspektionen överklagade och yrkade att Regeringsrätten, med upphävande av kammarrättens dom, skulle fastställa länsrättens dom. För den händelse Regeringsrätten skulle anse att behandlingen var förenlig med 9 § personuppgiftslagen och prövade frågan om behandlingen var tillåten enligt 10 § anfördes bl.a. följande. I det aktuella fallet kan, utöver samtycke, endast behandling med stöd av en intresseavvägning enligt 10 § f) bli aktuell. Kommunens intresse av att identifieringen ska ske genom användning av biometriska personuppgifter kan inte anses väga särskilt tungt. Kontroll av vilka elever som får äta den mat som serveras i skolans matsal kan ske både enkelt och smidigt utan behandling av biometriska uppgifter, vilket för övrigt torde vara fallet vid flertalet av landets gymnasieskolor. Den tekniska utvecklingen när det gäller användandet av biometriska uppgifter är än så länge i sin linda och i dag vet vi litet om vilka risker som finns med tekniken. Eftersom biometriska uppgifter härrör från kroppen och i många fall dessutom är permanenta upplever många människor att behandlingen av dessa uppgifter är extra känslig. Utgångspunkten bör därför, vid behandling av biometriska uppgifter för den nu aktuella typen av ändamål, vara att den registrerade måste lämna sitt samtycke till behandlingen för att den ska vara tillåten enligt 10 § personuppgiftslagen. Denna slutsats gör sig särskilt starkt gällande när behandlingen avser barn och ungdomar, även om dessa fyllt 15 år. Användandet av biometriska uppgifter riskerar att göra barn mindre medvetna om de risker rörande dataskydd som de eventuellt utsätts för senare i livet.

Uddevalla kommun ansåg i första hand att överklagandet skulle avslås. I andra hand ansåg kommunen att Regeringsrätten borde besluta att systemet var tillåtet under förutsättning att skriftligt samtycke inhämtades från berörd elev. För det fall Regeringsrätten skulle finna att systemet var otillåtet även med ett samtycke hemställde kommunen om att anstånd medgavs med avvecklingen för att möjliggöra en upphandling av ett nytt system. Kommunen anförde bl.a. följande. Det finns drygt 4 000 elever inskrivna i Uddevalla Gymnasieskola och det är omöjligt för personalen att veta vem som är elev och därför har rätt att äta lunch. Gymnasieskolans matsalar är centralt belägna och redan för tio år sedan konstaterades att antalet personer som åt i matsalarna, utan att vara elever vid skolan, var oacceptabelt stort. De ekonomiska konsekvenserna blev kännbara och det var nödvändigt att vidta åtgärder. Inför beslutet att köpa in ett identifieringssystem var det viktigt att hitta ett säkert och effektivt system där elevernas integritet beaktas och där kostnaden är rimlig i förhållande till nyttan. Det valda systemet uppfyller dessa kriterier.

Regeringsrätten (2008-12-16, Billum, Nordborg, Hamberg, Jermsten) yttrade: Skälen för Regeringsrättens avgörande. Reglerna i personuppgiftslagen bygger på Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. Direktivet syftar bl.a. till att skydda fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av personuppgifter.

Av 9 § första stycket personuppgiftslagen framgår de grundläggande kraven på behandling av personuppgifter. Enligt punkterna e och f ska den personuppgiftsansvarige se till att de personuppgifter som behandlas är adekvata och relevanta i förhållande till ändamålen med behandlingen och att inte fler personuppgifter behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen.

Personuppgifter får enligt 10 § personuppgiftslagen behandlas bara om den registrerade har lämnat sitt samtycke till behandlingen. Även utan att samtycke lämnats får personuppgifter behandlas om behandlingen är nödvändig för att uppfylla vissa i paragrafen närmare angivna syften. Enligt 10 § f får personuppgifter behandlas utan samtycke om behandlingen är nödvändig för att ett ändamål som rör ett berättigat intresse hos den personuppgiftsansvarige ska kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten.

Genom en lagändring som trädde i kraft den 1 januari 2007 infördes en möjlighet att i vissa fall göra undantag från de krav personuppgiftslagen ställer upp för att en behandling ska vara tillåten. Enligt 5 a § behöver således bl.a. bestämmelserna i 9 och 10 §§ inte tillämpas på behandling av personuppgifter som inte ingår i eller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlätta sökning efter eller sammanställning av personuppgifter, under förutsättning att behandlingen inte innebär en kränkning av den registrerades personliga integritet.

Det aktuella systemet med tallriksautomater innebär att personuppgifter fortlöpande lagras i databaser i syfte att identifiera eleverna. Det kan alltså inte anses vara fråga om en behandling av personuppgifter i ostrukturerat material. För att vara tillåten måste behandlingen därför vara förenlig med såväl 9 som 10 §§.

Av utredningen i målet framgår följande. För att få ta en tallrik måste eleven ange en personlig fyrsiffrig kod samt låta läsa av sitt finger. Ca 30 mätpunkter skannas in från ett av elevens fingrar. Mätpunkterna lagras tillsammans med den personliga koden i en separat databas. I en annan databas lagras namn, klass, personlig kod, max antal måltider per termin samt antal förbrukade måltider. Uppgifterna lagras i en dator som enbart används för detta ändamål. Datorn finns i ett särskilt personalutrymme och endast utsedda personer har tillgång till systemet som kräver personlig inloggning för åtkomst. Alla elever registreras i årskurs ett och finns kvar i registret under sin tid på skolan, dvs. normalt tre år. I augusti varje år tas avgående elever bort från registret.

Det är således relativt få uppgifter som registreras om varje elev. Det rör sig om partiella fingeravtryck och det finns fasta rutiner kring avregistrering och beträffande vilka som har tillgång till uppgifterna. Det har inte framkommit annat än att uppgifterna är nödvändiga för att ändamålet med behandlingen ska uppnås och det förhållandet att det är fråga om biometriska data utesluter inte att uppgifterna kan anses adekvata och relevanta i förhållande till det aktuella ändamålet. Med hänsyn till det anförda finner Regeringsrätten att behandlingen inte strider mot de grundläggande kraven i 9 § personuppgiftslagen.

När det gäller nästa led i bedömningen kan konstateras att lagen i princip utgår från att samtycke ska inhämtas innan uppgifter får behandlas. Kommunen har inte inhämtat sådant samtycke. För att behandlingen ska vara tillåten krävs därför att det vid en intresseavvägning kan anses att kommunens intresse av att identifiera de elever som får äta skolmaten väger tyngre än elevernas intresse av skydd mot kränkning av deras personliga integritet.

Behandling av biometriska uppgifter i identifieringssyfte kan av många uppfattas som känslig. Det nu aktuella systemet bygger på att uppgifterna finns i databaser som är tillgängliga för kommunen och att uppgifterna lagras under en förhållandevis lång tid. Den tekniska utformningen av systemet är alltså sådan att behandlingen får anses påkalla att särskilda integritetshänsyn tas. Mot den bakgrunden och då kommunens intresse av att identifiera eleverna torde kunna tillgodoses även med andra metoder finner Regeringsrätten att behandlingen kan vara tillåten endast under förutsättning att samtycke inhämtats.

Domslut

Regeringsrättens avgörande. Regeringsrätten upphäver kammarrättens dom och förklarar att behandlingen endast är tillåten under förutsättning att samtycke inhämtas.

Regeringsrådet Brickman var av skiljaktig mening och anförde följande. Jag instämmer i majoritetens bedömning att uppgifterna får anses nödvändiga för att ändamålet med behandlingen ska uppnås och att de är relevanta och adekvata i förhållande till detta ändamål. Behandlingen av personuppgifterna strider alltså inte mot de grundläggande kraven i 9 § personuppgiftslagen. - För att behandlingen ska vara tillåten utan den registrerades samtycke krävs emellertid enligt 10 § personuppgiftslagen också att skolans kontrollintresse kan anses väga tyngre än elevernas intresse av skydd mot kränkning av deras personliga integritet. I målet uppkommer därför inledningsvis frågan om vad som kan utgöra en sådan kränkning. - Genom införandet av 5 a § personuppgiftslagen undantogs viss personuppgiftsbehandling i mindre strukturerad form från lagens strikta hanteringsregler under förutsättning att behandlingen inte innebar någon kränkning av den registrerades personliga integritet. I förarbetena till lagändringen berörde regeringen frågan om vad som kan anses vara en integritetskränkning. Regeringen konstaterade inledningsvis att utgångspunkten i förarbetena till 1973 års datalag var att skyddet för den personliga integriteten inte kan sträcka sig längre än vad som är möjligt med hänsyn till de krav samhällsgemenskapen uppställer och anförde bl.a. följande. ”Det förutsattes således att en väl fungerande samhällsorganisation alltid kommer att medföra intrång i enskilda individers personliga integritet. Frågan blir då vad som kan tolereras och vad som går utöver det som är acceptabelt eller med andra ord vad som är en kränkning av den personliga integriteten och vad som inte är det. Mot bakgrund härav kan man säga att en persons integritet kränks i den mån det sker ett intrång i hans eller hennes privata sfär t.ex. genom att uppgifter om honom eller henne, som det finns rimliga skäl att beteckna som integritetskänsliga, sprids. --- Bedömningen av vad som är en kränkning skall alltså inte göras schablonartat enbart utifrån vilka uppgifter som behandlas utan måste även ta sin utgångspunkt i t.ex. vilket sammanhang uppgifterna förekommer, för vilket syfte de behandlas, vilken spridning de har fått eller har riskerat att få samt vad behandlingen kan leda till. - Om uppgifter samlas in eller annars behandlas med syfte att förfölja eller skandalisera en person, får handlingen givetvis anses innebära en kränkning av den personliga integriteten. Det kan exempelvis gälla publicering på Internet av bilder på en f.d. pojk- eller flickvän i eller utan badkläder eller av rent personliga detaljer om dennes beteende. Ett annat exempel som kan anföras är behandling, i form av t.ex. spridning, av uppgifter om meningsmotståndare i syfte att möjliggöra angrepp på dessa på grund av t.ex. deras politiska uppfattning, sexuella läggning eller etniska ursprung. - En enskild person torde ofta ha rätt att kräva att ingen har en i det närmaste fullständig kunskap om honom eller henne. Redan det förhållandet att en personuppgiftsansvarig samlar en stor mängd uppgifter om en person utan något godtagbart ändamål måste därför oftast ses som en kränkning av den personliga integriteten. Som exempel kan tas en hyresvärd som närmast av nyfikenhet samlar bilder på och anteckningar i löpande text om iakttagelser av en hyresgäst. - Vidare får det oftast anses innebära en kränkning av den registrerades personliga integritet om den personuppgiftsansvarige medvetet behandlar personuppgifter som är klart felaktiga eller missvisande” (prop. 2005/06:173 s. 16 och 27). - De uppgifter som målet i första hand gäller - ett antal mätpunkter från den registrerades finger - är inte känsliga personuppgifter enligt 13 § personuppgiftslagen. Mot bakgrund bl.a. av regeringens uttalanden i förarbetena framstår de enligt min mening tvärtom som skäligen harmlösa. Så vitt framgår av utredningen har också majoriteten av eleverna accepterat systemet. På grund av det anförda och vad som upplysts om skolans hantering av uppgifterna anser jag att den aktuella personuppgiftsbehandlingen inte påkallar några särskilda integritetshänsyn. - Med hänsyn till kommunens behov av ett säkert och smidigt kontrollsystem, att det inte är fråga om några känsliga uppgifter och att elever som så önskar kan avstå från att ingå i systemet finner jag att kommunens kontrollintresse väger tyngre än elevernas integritetsintresse (jfr RÅ 2001 ref. 68 och 2002 ref. 54). Kammarrättens dom bör därför fastställas.

Föredraget 2008-10-29, föredragande K. Dunnington, målnummer 6588-05