RH 2017:17

Åklagaren yrkade vid tingsrätten med stöd av 36 kap. 7 § brottsbalken samt 9 § första stycket och 19 § första stycket 2kreditupplysningslagen (1973:1173) att Bisnode Kredit AB (i fortsättningen Bisnode) skulle åläggas en företagsbot om 100 000 kr. Åklagaren gjorde gällande att brott begåtts i utövningen av bolagets näringsverksamhet enligt följande gärningsbeskrivning. Bisnode har den 16 januari 2014 brutit mot kreditupplysningslagens 9 § 1 st genom att, i enlighet med en inlämnad begäran med 400 personnummer, ha lämnat ut kreditupplysningsuppgifter på fysiska personer som inte varit näringsidkare trots att det fanns anledning att anta att upplysningarna skulle användas av annan än den som på grund av ingånget eller ifrågasatt kreditavtal eller av någon annan anledning hade behov (ett s.k. legitimt behov) av upplysningarna. - Gärningen har begåtts uppsåtligen eller av oaktsamhet i Bisnodes näringsverksamhet och näringsidkaren har inte gjort vad som skäligen kan krävas för att förebygga brottsligheten.

Bisnode medgav talan men argumenterade i frågan om företagsbotens storlek. Bolaget åberopade viss skriftlig bevisning.

Tingsrätten (chefsrådmannen Ragnar Palmkvist), som avgjorde målet utan huvudförhandling, anförde i dom den 5 oktober 2015 följande.

Utredningen

De faktiska omständigheterna i målet är ostridiga och i huvudsak har följande framkommit.

Bisnode bedriver yrkesmässig kreditupplysning bl.a. genom utlämnande av uppgifter ur en databas, www.businesscheck.se. Bisnode har ett utgivningsbevis från Myndigheten för radio och tv för databasen. Databasen används när kunder behöver göra riskbedömningar på flera personer samtidigt, t.ex. vid frågor från bostadsrättsföreningar, factoringbolag i samband med köp av fordringar eller från företag som bedriver uppdragsverksamhet såsom inkassoverksamhet. När en kund vill få ut kreditupplysningar från databasen skickar kunden en beställning per fil till Bisnode. Bisnode skickar därefter tillbaka filen med de kreditupplysningar som kunden har beställt.

Bisnodes avtal med kunder som gör beställningar från www.businesscheck.se innehåller en hänvisning till Bisnodes licensvillkor. Av punkten 4.2 i licensvillkoren framgår att Bisnodes kund ska ha ett legitimt behov enligt 9 § kreditupplysningslagen (1973:1173) då kunden beställer kreditupplysningar på privatpersoner i situationer då kreditupplysningslagen är tillämplig samt att kunden ska se till att detta krav är uppfyllt. I samma punkt anges att med legitimt behov avses t.ex. att frågeställaren ska ingå kreditavtal med den som upplysningen avser eller att frågeställaren i övrigt har anledning att göra en ekonomisk riskbedömning beträffande den omfrågade. Vidare föreskrivs i punkten 2.2 att det åligger kunden att hålla sig informerad om tillämpliga lagar och föreskrifter.

Den 9 januari 2014 ingick Bisnode avtal med Seppuku Media Ekonomisk förening (i fortsättningen Seppuku) om att tillhandahålla en kreditupplysningstjänst från databasen. Beställningen gjordes dagen innan genom att Seppuku skickade över en fil med 400 personnummer vilka avsågs med begäran. I samband med avtalets ingående gjorde Bisnode en företagskontroll där Seppukus verksamhetsbeskrivning granskades. Av verksamhetsbeskrivningen framgick att föreningen bedrev näringsverksamhet i form av framställning och försäljning av medieprodukter såsom fotografier och skrivna verk samt mediekonsultverksamhet.

Den 16 januari 2014 lämnade Bisnode ut 400 personupplysningar elektroniskt till Seppuku från databasen www.businesscheck.se. Bisnode lämnade ut personupplysningarna utan att Seppuku redogjort för sitt ändamål med beställningen.

Enligt Bisnodes rutiner vid den aktuella tidpunkten skulle en kunds uppgift om ändamålet med kreditupplysningen kontrolleras vid beställningar från nya kunder. Detsamma gällde om det framgick eller förelåg misstanke om att kunden saknade legitimt behov av upplysningen, t.ex. om beställarens verksamhet normalt sett inte omfattade försäljning av varor eller tjänster till privatpersoner. Kunden ombads då skriftligen redogöra för ändamålet med beställningen. Bisnode hade dock ingen lathund för hur anställda skulle kontrollera det legitima behovet hos kunder vid beställningar från www.businesscheck.se. Istället var det upp till den anställde att kontrollera kundens behov.

Det har i målet inte framkommit att den hos Bisnode anställde som tog emot beställningen och lämnade ut personupplysningarna hade något särskilt ansvar eller en ledande ställning inom bolaget.

Bisnode fick under perioden 22-26 januari 2014 flera klagomål om olovlig kreditupplysning till sin kundtjänst och startade därför omgående en intern utredning. Seppuku kontaktades och ombads redogöra för ändamålet med beställningen. Det framkom att skälet till Seppukus beställning var att kreditupplysningarna skulle användas som underlag vid en journalistisk granskning. Avtalet med Seppuku sades upp av Bisnode.

Bisnode skickade den 31 januari 2014 ut brev till de berörda personerna med en förklaring till händelsen och begärde även att personuppgiftsbehandlingen upphörde hos Seppuku och att uppgifterna raderades. Bisnode tog också bort den uppgift - omfrågeuppgift - som noterats i kreditupplysningsregistret för de berörda personerna.

Av cirka 100 personer som hört av sig till Bisnode angående personupplysningarna framställde ungefär hälften krav på ekonomisk ersättning. Bisnode erbjöd cirka 40 av dessa ett belopp på 2 000 kr, vilket vissa senare godtog och andra förkastade.

DOMSKÄL

Ansvar

Bisnodes medgivande av ansvar stöds av övrig utredning. Det är utrett att den person hos Bisnode som tog emot beställningen och lämnade ut kreditupplysningarna vid avtalets ingående med Seppuku inte förvissat sig om att föreningen hade grundläggande kunskaper om i vilka situationer det föreligger legitimt behov och att personen inte heller kontrollerade att Seppuku i sin verksamhet kunde antas ha legitimt behov av kreditupplysningar. Med hänsyn till vad som framgick av Seppukus verksamhetsbeskrivning måste det, trots det befintliga avtalsvillkoret om ansvaret för kontroll av legitimt behov, ha funnits anledning att misstänka att Seppuku inte hade ett legitimt behov av kreditupplysningar. Då någon kontroll inte heller gjordes vid utlämnandet av de aktuella kreditupplysningarna är det, med hänsyn till att journalistisk granskning inte utgör något legitimt skäl, styrkt att kreditupplysningarna, åtminstone av oaktsamhet, lämnats ut i strid mot 9 § första stycket kreditupplysningslagen. För brottet är föreskrivet strängare straff än penningböter (19 § första stycket kreditupplysningslagen).

Bisnode har haft ett ansvar för att se till att fungerande rutiner vid utlämnande av kreditupplysningar från www.businesscheck.se fanns hos bolaget. Eftersom Bisnode vid tidpunkten inte hade någon lathund eller närmare riktlinjer för hur anställda skulle kontrollera det legitima behovet hos kunder vid beställningar från databasen kan bolaget inte anses ha gjort vad som skäligen hade kunnat krävas för att förebygga brottsligheten. Det finns därför förutsättningar att, i enlighet med 36 kap. 7 § första stycket 1 brottsbalken, ålägga Bisnode företagsbot.

Företagsbotens storlek

Åklagaren har yrkat på ett belopp om 100 000 kr. Bisnode har angett omständigheter som bolaget menar ska beaktas i mildrande riktning vid bestämmandet av företagsbotens belopp.

Enligt 36 kap. 8 § brottsbalken ska företagsboten fastställas till lägst 5 000 kr och högst tio miljoner kr. När storleken av företagsboten bestäms ska, med beaktande av straffskalan för brottet, särskild hänsyn tas till den skada eller fara som brottsligheten inneburit samt till brottslighetens omfattning och förhållande till näringsverksamheten. Skälig hänsyn ska också tas till om näringsidkaren tidigare ålagts att betala företagsbot (36 kap. 9 § brottsbalken).

Enligt förarbetena till bestämmelsen i 36 kap. 8 § brottsbalken ska den skada eller fara som brottsligheten har inneburit vara grundläggande för bestämningen av företagsboten. Vid beaktande av brottslighetens omfattning finns det skäl att se mer allvarligt på sådan brottslighet som har bedrivits på ett systematiskt sätt och i stor omfattning än på enstaka överträdelser. Storleken ska vidare bestämmas oberoende av företagets storlek och bedömningen ska i stor utsträckning utgå från objektiva omständigheter. Subjektiva faktorer som att gärningen begåtts uppsåtligen har därför en mindre framträdande betydelse. När det gäller brottslighetens förhållande till näringsverksamheten bör hänsyn tas till i vad mån näringsidkaren kan klandras för den aktuella brottsligheten. I detta sammanhang bör graden av åsidosättande av näringsidkarens skyldigheter också ha betydelse. (Prop. 2005/06:59 s. 61 f.)

För brott mot kreditupplysningslagen av det nu aktuella slaget föreskrivs böter eller fängelse i högst ett år. Ett utlämnande av en kreditupplysning till någon annan än den som har ett legitimt behov av uppgiften utgör en otillbörlig kränkning av den enskildes personliga integritet. Det har förvisso inte varit fråga om uppgifter som normalt är att bedöma som särskilt känsliga och den skada som kan anses ha uppstått är inte att bedöma som särskilt allvarlig. Det får däremot anses vara försvårande att det vid utlämnandet funnits en risk att de aktuella uppgifterna skulle spridas vidare eller offentliggöras. Därtill kommer att antalet kreditupplysningar varit förhållandevis stort. Straffvärdet för det aktuella brottet motsvarar enligt tingsrätten ett måttligt bötesstraff.

Bisnode har gjort gällande att det vid bestämmandet av företagsbotens storlek ska tas hänsyn bl.a. till att formuleringen av 9 § kreditupplysningslagen innebär en presumtion för utlämnade, att det vid tidpunkten för utlämnandet inte fanns närmare riktlinjer i lag, motivuttalanden eller uttalanden från Datainspektionen för hur och i vilka situationer en legitimitetskontroll ska genomföras och att det enligt avtalet mellan Bisnode och Seppuku funnits en skyldighet för Seppuku att ansvara för att de hade legitimt behov av upplysningarna.

Tingsrätten anser inte att formuleringen av 9 § kreditupplysningslagen kan ges någon betydelse när det väl har konstaterats att brott har begåtts och då Bisnode inte haft tydliga riktlinjer för sina anställda för kontroll av legitimiteten och följaktligen för när presumtionen bryts. Det måste också beaktas att brottligheten begåtts inom Bisnodes huvudsakliga verksamhet och inte kan anses ha haft att göra med bristande kunskaper eller förståelse hos företaget för regleringen inom kreditupplysningsområdet eller för när det i ett visst fall kan finnas risk för att en beställare saknar legitimt behov. Däremot anser tingsrätten att svårigheten av graden av åsidosättandet av Bisnodes skyldigheter i viss mån påverkas av att det inte funnits närmare riktlinjer för hur och i vilka situationer en legitimitetskontroll ska göras.

Vidare har Bisnode framhållit att de aktuella personupplysningarna har tillhandahållits ur en enligt 1 kap. 9 § yttrandefrihetsgrundlagen grundlagsskyddad databas. Det kan påpekas att ett ingripande mot utlämnande av uppgifter ur en sådan databas är avhängigt delegationsbestämmelsen i 1 kap. 9 § tryckfrihetsförordningen. Kravet på att beställare av personupplysningar ska ha ett legitimt behov infördes beträffande den aktuella typen av databaser genom ändring i kreditupplysningslagen den 1 januari 2011. Vid den tidpunkten framgick inte möjligheten att i vanlig lag föreskriva krav på legitimt behov uttryckligen av delegationsbestämmelsen i 1 kap. 9 § tryckfrihetsförordningen utan bestämmelsen förtydligades först den 1 januari 2015 i syfte att anpassa grundlagen till ändringen i kreditupplysningslagen (prop. 2013/14:47 s. 20 f.). Bisnode har anfört att det för kreditupplysningsbranschen efter lagändringen i kreditupplysningslagen 2011 har funnits en befogad anledning att tro att en domstol vid en laglighetsprövning skulle komma till slutsatsen att grundlagen inte ger stöd för kravet på legitimt behov och straff som kan bli aktuellt.

Frågan om införandet i kreditupplysningslagen 2011 av ett krav på legitimt behov var förenlig med delegationsbestämmelsen i 1 kap. 9 § tryckfrihetsförordningen togs upp i förarbetena. En del remissinstanser, bl.a. Justitiekanslern, ansåg inte det. Regeringen bedömde dock att ett utlämnande av en personupplysning till annan än den som har ett legitimt behov av den utgör ett intrång i den enskildes personliga integritet som är så opåkallat och påtagligt att det är att anse som otillbörligt (jfr den lydelse som 1 kap. 9 § tryckfrihetsförordningen hade före ändringen). Regeringen konstaterade att den aktuella lagändringen var väl förenlig med delegationsbestämmelsens syfte, nämligen att i kreditupplysningslagen kunna föreskriva inskränkningar på grundlagens område till skydd för den enskildes personliga integritet. Regeringens slutsats var att den föreslagna lagändringen om krav på legitimt behov föll inom det område som får regleras i lag. (Prop. 2009/10:151 s. 13 f.). Vidare hade Lagrådet inte någon erinran mot förslaget (prop. 2009/10:151 s. 44) och konstitutionsutskottet gjorde bedömningen att de föreslagna ändringarna kunde genomföras utan grundlagsändring (2009/10:KU8y s. 7). Tingsrätten gör ingen annan bedömning av kreditupplysningslagens förenlighet med delegationsbestämmelsen före förtydligandet av den 1 januari 2015.

Tingsrätten anser mot bakgrund av det ovan anförda att det måste ha stått klart för Bisnode att ett utlämnande av personupplysningar från www.businesscheck.se enligt lag krävde att det fanns ett legitimt behov hos beställaren. De brister som Bisnode har haft i sina rutiner kan knappast härledas till att det inom kreditupplysningsbranschen förelegat en ovisshet om domstolarnas syn på lagstiftningens överrensstämmelse med grundlagen. Det finns därför inte något utrymme att ta hänsyn till detta vid bestämmandet av företagsbotens belopp.

Härefter kan konstateras att bestämmelsen i 36 kap. 9 § brottsbalken inte heller ger utrymme för att vid bestämmandet av företagsbotens storlek ta hänsyn till de åtgärder som Bisnode vidtagit efter utlämnandet av de aktuella personupplysningarna.

Det bör påpekas att det ifråga om brott mot kreditupplysningslagen saknas riktlinjer eller rättspraxis som kan tjäna som utgångspunkt för bedömningen av företagsbotens storlek (jfr området för miljö- och arbetsmiljömål). Den bedömning som tingsrätten har att göra kan därför ske inom en ganska vid beloppsmässig ram.

Även med beaktande av att det, i enlighet med vad som ovan anförts, bedöms föreligga förmildrande omständigheter och med hänsyn taget till att Bisnode inte tidigare har ålagts att betala företagsbot anser tingsrätten vid en sammantagen bedömning att det av åklagaren yrkade beloppet om 100 000 kr är rimligt.

Förutsättningar för jämkning av företagsboten

Enligt 36 kap. 10 § första stycket brottsbalken får företagsbot sättas lägre än vad som borde ha skett med tillämpning av 9 §, bl.a. om näringsidkaren efter förmåga försökt förebygga, avhjälpa eller begränsa de skadliga verkningarna av brottet (punkt 2), om näringsidkaren frivilligt angett brottet (punkt 3) eller om det annars finns särskilda skäl för jämkning (punkt 4).

Det kan konstateras att Bisnode vidtagit åtgärder för att begränsa skadeverkningarna av utlämnandet och att åtgärderna i och för sig är sådana att de kan utgöra skäl för jämkning. En jämkning bör dock enligt tingsrätten inte vara aktuell i en situation där en näringsidkare måste anses ha en skyldighet att agera. Bisnode har framhållit att de omedelbart tagit bort den notering (omfrågeuppgift) som registrerats i kreditupplysningsregistret. En sådan skyldighet har Bisnode haft enligt 8 § första stycket kreditupplysningslagen eftersom det aldrig har varit nödvändigt att med hänsyn till ändamålet med behandlingen av de aktuella uppgifterna bevara dem (se prop. 2009/10:151 s. 19 angående behovet av att spara omfrågeuppgifter). Vidare har Bisnode framhållit att de har varit i kontakt med Seppuku med krav på att uppgifterna inte får användas utan ska gallras. Även om någon sådan skyldighet inte framkommer uttryckligen av lagstiftningen (jfr dock 12 § kreditupplysningslagen) anser tingsrätten inte att omständigheten väger tillräckligt tungt för att utgöra skäl för jämkning.

Bisnode har vidare framhållit att bolaget har bistått polisen med allt material som efterfrågats i utredningen och som kunnat vara relevant för utredningen. Tingsrätten konstaterar att det inte har varit fråga om att begränsa skadeverkningarna av brottet eller om ett frivilligt angivande. Det bör även beaktas att bestämmelsen i 36 kap. 10 § första stycket brottsbalken har sin förebild i 29 kap. 5 § (prop. 2005/06:59 s. 39). Vid tillämpningen av den senare bestämmelsen tas inte någon hänsyn till att någon sedan misstanke om brott väl uppstått hjälper till med brottsutredningen. Det ska nämligen inte påverka bedömningen av straffet att en tilltalad väljer att förneka brott. Tingsrätten anser att samma överväganden är aktuella i fråga om bestämningen av företagsbotens storlek.

Bisnode har slutligen anfört att det erbjudit kompensation till dem som krävt ersättning. Tingsrätten noterar att det förvisso varit fråga om ett frivilligt erbjudande på så sätt att initiativet inte grundar sig på ett beslut från en domstol. Kompensation har dock inte erbjudits till samtliga som drabbats. Det har inte heller skett på Bisnodes eget initiativ utan först efter att krav riktats mot dem. Tingsrätten anser därför inte att omständigheten att Bisnode erbjudit kompensation har tillräcklig tyngd för att utgöra skäl för jämkning.

Frågan är härefter om något av de skäl som Bisnode anfört gällande företagsbotens storlek, inkluderat de omständigheter som berörts under föregående rubrik, utgör ett särskilt skäl för jämkning enligt fjärde punkten i 36 kap. 10 § första stycket brottsbalken.

Enligt förarbetena till den aktuella bestämmelsen om jämkning av företagsbot innebär markeringen ”särskilda skäl” att det inte räcker att det finns omständigheter som talar för jämkning eller eftergift, utan det krävs att dessa omständigheter har särskild tyngd. Särskilda skäl för jämkning kan uppstå om det framstår som uppenbart oskäligt att ålägga full företagsbot, t.ex. på grund av att brottet, utan att det helt kan undantas med tillämpning av allmänna principer om abnormhandlingar eller på grund av att det inte är begånget i näringsverksamheten, indirekt riktar sig mot näringsidkaren. (Prop. 2005/06:59 s. 63.)

Tingsrätten anser inte att något av de skäl som Bisnode anfört har en sådan särskild tyngd att det föreligger särskilda skäl för jämkning.

Sammanfattning

Tingsrätten har funnit att brott mot kreditupplysningslagen begåtts inom Bisnodes verksamhet och att förutsättningar för att ålägga bolaget företagsbot föreligger. Vad gäller bestämmandet av företagsbotens storlek har tingsrätten tagit hänsyn till vissa av de omständigheter som Bisnode åberopat men vid en samlad bedömning ändå kommit fram till att det av åklagaren yrkade beloppet är rimligt. Tingsrätten har slutligen bedömt att det saknas skäl att jämka företagsboten. Bisnode ska därför åläggas att betala företagsbot om 100 000 kr.

DOMSLUT

Betalningsskyldighet till staten

Bisnode åläggs företagsbot med 100 000 kr.