RÅ 2008:83

Barn- och utbildningsnämnden i Uddevalla kommun överklagade Datainspektionens beslut och yrkade att länsrätten skulle upphäva beslutet i sin helhet. Till stöd för sin talan anförde nämnden bl.a. följande. I motiveringen till det överklagade beslutet hänvisas till 29-gruppens rädsla för att medvetenheten skulle minska om de risker rörande dataskydd som barnen skulle kunna utsättas för senare i livet. Enligt nämndens uppfattning kan inte denna allmänna risk mätas in i frågan om fingeravläsningen utgör ett intrång i den personliga integriteten eller inte. Dessutom utgörs den registrerade gruppen inte av små barn utan av ungdomar med en begynnelseålder på 15-16 år. Nämnden gör gällande att registreringen är adekvat och relevant för att kunna kontrollera att endast de elever som betalt måltidsavgiften äter i matsalen. En sådan kontroll skulle kunna göras på ett flertal sätt men säkerheten i systemet är viktig. Är systemet inte säkert skulle det kunna medföra att den som inte betalat måltidsavgift tillgodogör sig betalande elevs rätt, genom att förfalska namnteckning, lura/tvinga till sig kod etc. beroende på vilket annat system som skulle kunna vara aktuellt. I första hand anser man att något samtycke till registreringen inte behövs eller - om uppgifterna trots allt skulle anses kränka den personliga integriteten - att intresset för nämnden att kunna kontrollera att endast de som erlagt betalning äter i matsalen måste anses väga tyngre än den registrerades intresse av skydd mot sådan kränkning. Uddevalla kommun har 3 679 studerande på gymnasiet varav 3 231 betalar för maten. Måltidsavgiften är 1 750 kr per år. Intäkterna och det stora antal som ändå inte väljer att inta lunch i skolmatsalen berättigar ett säkert och tillförlitligt kontrollsystem. Om samtycke skulle krävas anser nämnden att då systemet med fingeravläsning är allmänt känt bör samtycke till registrering kunna lämnas samtidigt som terminsavgiften för skolmåltid erläggs.

Uddevalla kommun överklagade länsrättens dom hos kammarrätten.

Datainspektionen bestred bifall till överklagandet och anförde bl.a. följande. Inspektionen vitsordar att kommunen har ett intresse av att kontrollera att endast de som erlagt betalning äter i matsalen. Det betyder emellertid inte att kontrollen måste innefatta behandling av biometriska uppgifter. Andra system för identifiering innebär inte nödvändigtvis att säkerheten blir lidande. Biometriska uppgifter, t.ex. fingeravtryck, härrör från kroppen och är unika för varje individ. Detta möjliggör en unik och livslång identifiering av en person. Biometriska uppgifter innehåller ofta mer uppgifter än vad som är nödvändigt för identifiering. Även om det i ärendet inte är fråga om att registrera fullständiga fingeravtryck och dessa uppgifter inte är att betrakta som känsliga enligt personuppgiftslagen kan registreringen uppfattas som ett intrång i den personliga integriteten. En registrering av biometriska uppgifter för det aktuella ändamålet innebär ett onödigt integritetsintrång genom att den avsedda kontrollen går att genomföra på ett mindre ingripande sätt. För den händelse kammarrätten skulle finna att behandlingen är tillåten enligt 9 § personuppgiftslagen och prövar frågan om samtycke hänvisas till den skiljaktiga meningen i tillsynsärendet mot Barn- och utbildningsnämnden i Vetlanda kommun (Datainspektionens beslut den 15 juni 2004, dnr 42-2004). I denna situation anser inspektionen således att samtycke måste inhämtas för att behandlingen skall vara tillåten. För att samtycket skall vara giltigt måste eleverna få information i enlighet med 25 § personuppgiftslagen. Eftersom ett giltigt samtycke kräver att det finns alternativa rutiner för den som inte vill låta sitt finger avläsas kan samtycke svårligen inhämtas genom att terminsavgiften för skolmåltid erläggs. Däremot bör samtycke kunna inhämtas i samband med detta.

Datainspektionen överklagade och yrkade att Regeringsrätten, med upphävande av kammarrättens dom, skulle fastställa länsrättens dom. För den händelse Regeringsrätten skulle anse att behandlingen var förenlig med 9 § personuppgiftslagen och prövade frågan om behandlingen var tillåten enligt 10 § anfördes bl.a. följande. I det aktuella fallet kan, utöver samtycke, endast behandling med stöd av en intresseavvägning enligt 10 § f) bli aktuell. Kommunens intresse av att identifieringen ska ske genom användning av biometriska personuppgifter kan inte anses väga särskilt tungt. Kontroll av vilka elever som får äta den mat som serveras i skolans matsal kan ske både enkelt och smidigt utan behandling av biometriska uppgifter, vilket för övrigt torde vara fallet vid flertalet av landets gymnasieskolor. Den tekniska utvecklingen när det gäller användandet av biometriska uppgifter är än så länge i sin linda och i dag vet vi litet om vilka risker som finns med tekniken. Eftersom biometriska uppgifter härrör från kroppen och i många fall dessutom är permanenta upplever många människor att behandlingen av dessa uppgifter är extra känslig. Utgångspunkten bör därför, vid behandling av biometriska uppgifter för den nu aktuella typen av ändamål, vara att den registrerade måste lämna sitt samtycke till behandlingen för att den ska vara tillåten enligt 10 § personuppgiftslagen. Denna slutsats gör sig särskilt starkt gällande när behandlingen avser barn och ungdomar, även om dessa fyllt 15 år. Användandet av biometriska uppgifter riskerar att göra barn mindre medvetna om de risker rörande dataskydd som de eventuellt utsätts för senare i livet.

Uddevalla kommun ansåg i första hand att överklagandet skulle avslås. I andra hand ansåg kommunen att Regeringsrätten borde besluta att systemet var tillåtet under förutsättning att skriftligt samtycke inhämtades från berörd elev. För det fall Regeringsrätten skulle finna att systemet var otillåtet även med ett samtycke hemställde kommunen om att anstånd medgavs med avvecklingen för att möjliggöra en upphandling av ett nytt system. Kommunen anförde bl.a. följande. Det finns drygt 4 000 elever inskrivna i Uddevalla Gymnasieskola och det är omöjligt för personalen att veta vem som är elev och därför har rätt att äta lunch. Gymnasieskolans matsalar är centralt belägna och redan för tio år sedan konstaterades att antalet personer som åt i matsalarna, utan att vara elever vid skolan, var oacceptabelt stort. De ekonomiska konsekvenserna blev kännbara och det var nödvändigt att vidta åtgärder. Inför beslutet att köpa in ett identifieringssystem var det viktigt att hitta ett säkert och effektivt system där elevernas integritet beaktas och där kostnaden är rimlig i förhållande till nyttan. Det valda systemet uppfyller dessa kriterier.

Regeringsrätten (2008-12-16, Billum, Nordborg, Hamberg, Jermsten) yttrade: Skälen för Regeringsrättens avgörande. Reglerna i personuppgiftslagen bygger på Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. Direktivet syftar bl.a. till att skydda fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av personuppgifter.

Av 9 § första stycket personuppgiftslagen framgår de grundläggande kraven på behandling av personuppgifter. Enligt punkterna e och f ska den personuppgiftsansvarige se till att de personuppgifter som behandlas är adekvata och relevanta i förhållande till ändamålen med behandlingen och att inte fler personuppgifter behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen.

Personuppgifter får enligt 10 § personuppgiftslagen behandlas bara om den registrerade har lämnat sitt samtycke till behandlingen. Även utan att samtycke lämnats får personuppgifter behandlas om behandlingen är nödvändig för att uppfylla vissa i paragrafen närmare angivna syften. Enligt 10 § f får personuppgifter behandlas utan samtycke om behandlingen är nödvändig för att ett ändamål som rör ett berättigat intresse hos den personuppgiftsansvarige ska kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten.

Genom en lagändring som trädde i kraft den 1 januari 2007 infördes en möjlighet att i vissa fall göra undantag från de krav personuppgiftslagen ställer upp för att en behandling ska vara tillåten. Enligt 5 a § behöver således bl.a. bestämmelserna i 9 och 10 §§ inte tillämpas på behandling av personuppgifter som inte ingår i eller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlätta sökning efter eller sammanställning av personuppgifter, under förutsättning att behandlingen inte innebär en kränkning av den registrerades personliga integritet.

Det aktuella systemet med tallriksautomater innebär att personuppgifter fortlöpande lagras i databaser i syfte att identifiera eleverna. Det kan alltså inte anses vara fråga om en behandling av personuppgifter i ostrukturerat material. För att vara tillåten måste behandlingen därför vara förenlig med såväl 9 som 10 §§.

Av utredningen i målet framgår följande. För att få ta en tallrik måste eleven ange en personlig fyrsiffrig kod samt låta läsa av sitt finger. Ca 30 mätpunkter skannas in från ett av elevens fingrar. Mätpunkterna lagras tillsammans med den personliga koden i en separat databas. I en annan databas lagras namn, klass, personlig kod, max antal måltider per termin samt antal förbrukade måltider. Uppgifterna lagras i en dator som enbart används för detta ändamål. Datorn finns i ett särskilt personalutrymme och endast utsedda personer har tillgång till systemet som kräver personlig inloggning för åtkomst. Alla elever registreras i årskurs ett och finns kvar i registret under sin tid på skolan, dvs. normalt tre år. I augusti varje år tas avgående elever bort från registret.

Det är således relativt få uppgifter som registreras om varje elev. Det rör sig om partiella fingeravtryck och det finns fasta rutiner kring avregistrering och beträffande vilka som har tillgång till uppgifterna. Det har inte framkommit annat än att uppgifterna är nödvändiga för att ändamålet med behandlingen ska uppnås och det förhållandet att det är fråga om biometriska data utesluter inte att uppgifterna kan anses adekvata och relevanta i förhållande till det aktuella ändamålet. Med hänsyn till det anförda finner Regeringsrätten att behandlingen inte strider mot de grundläggande kraven i 9 § personuppgiftslagen.

När det gäller nästa led i bedömningen kan konstateras att lagen i princip utgår från att samtycke ska inhämtas innan uppgifter får behandlas. Kommunen har inte inhämtat sådant samtycke. För att behandlingen ska vara tillåten krävs därför att det vid en intresseavvägning kan anses att kommunens intresse av att identifiera de elever som får äta skolmaten väger tyngre än elevernas intresse av skydd mot kränkning av deras personliga integritet.

Behandling av biometriska uppgifter i identifieringssyfte kan av många uppfattas som känslig. Det nu aktuella systemet bygger på att uppgifterna finns i databaser som är tillgängliga för kommunen och att uppgifterna lagras under en förhållandevis lång tid. Den tekniska utformningen av systemet är alltså sådan att behandlingen får anses påkalla att särskilda integritetshänsyn tas. Mot den bakgrunden och då kommunens intresse av att identifiera eleverna torde kunna tillgodoses även med andra metoder finner Regeringsrätten att behandlingen kan vara tillåten endast under förutsättning att samtycke inhämtats.