LÄNSRÄTTEN I DOM
STOCKHOLMS LÄN 2004-02-05
Rotel 661 Meddelad i
Avd. 6 Stockholm
KLAGANDE
Nordiska kommittén för mänskliga rättigheter, 855102-0053
Box 8077
424 12 OLOFSTORP
MOTPART
Datainspektionen
Box 8114
104 20 STOCKHOLM
ÖVERKLAGAT BESLUT
Datainspektionens beslut den 19 maj 2000
SAKEN
Tillsyn enligt personuppgiftslagen (1998:204), PUL
Mål nr 1515-02
BAKGRUND
Datainspektionen (hädanefter DI) konstaterade i beslut den 19 maj 2000 att Nordiska kommittén för mänskliga rättigheter (hädanefter NKMR), under rubriken SÖK-tjänst på organisationens webbplats, där bl.a. namn och bild på barn som omhändertagits med stöd av lagen (1990:52) med särskilda bestämmelser om vård av unga publicerats, behandlat personuppgifter i strid med 21 § PUL och att behandlingen även stred mot förbudet i 33 § PUL. DI anförde vidare att det förutsattes att NKMR omedelbart skulle upphöra med den aktuella behandlingen av personuppgifter samt att ärendet, med hänsyn till förfarandets allvarliga karaktär, skulle komma att översändas till polismyndigheten för kännedom och eventuell åtgärd.
NKMR överklagade DI:s beslut till Länsrätten i Stockholms Län som i beslut i mål nr 9590-OOE den 29 januari 2001 avvisade överklagandet. Kammarrätten i Stockholm har i beslut den 23 januari 2002 i mål nr 1173-2001 återförvisat målet till länsrätten för prövning i sak.
Postadress Besöksadress Telefon Telefax Expeditionstid
Box 17106 Krukmakargatan 19 08-720 90 00 08-720 93 00 måndag - fredag
104 62 STOCKHOLM
YRKANDEN M.M.
NKMR yrkar att länsrätten skall undanröja DI:s beslut. Till stöd för sin talan anför NKMR bl.a. följande. NKMR är en internationell organisation, varför den i målet aktuella SÖK-tjänsten inte faller under PUL och således inte är underkastad DI:s tillsyn. DI:s föreläggande till NKMR att organisationen skall stänga sin SÖK-tjänst är en grov kränkning av gemene mans yttrandefrihet och ett grovt intrång i familjers och barns rätt till respekt för privat- och familjeliv som garanteras av artikel 8 i den Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna (Europakonventionen). Uppgifterna ifråga är offentliga och finns i domar från förvaltningsdomstolar. Enligt PUL:s portalparagraf är syftet med lagen "att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter”. Tvångsomhändertagande av barn är, gentemot såväl barnen som deras föräldrar, en synnerligen integritetskränkande åtgärd. Föräldrarna har gett NKMR uppdraget att publicera uppgifter om deras barn samt namn och adress avseende dem själva. Om en tillämpning av PUL på NKMR:s SÖK-tjänst är agnad att skydda myndigheterna, vilket verkar vara fallet, är det fråga om illojal lagtillämpning eller myndighetsmissbruk, vilket aktualiserar artiklarna 6 och 18 i Europakonventionen.
DI vidhåller det överklagade beslutet.
DOMSKÄL
Av 1 § PUL framgår att syftet med lagen är att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter.
Av 3 § PUL framgår att i lagen nu aktuella beteckningar definieras enligt följande. – Behandling (av personuppgifter): Varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte, t.ex. insamling, registrering, organisering, lagring, bearbetning eller andring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring.
Personuppgifter: All slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet.
Personuppgiftsansvarig: Den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. - Tredje land: En stat som inte ingår i Europeiska unionen eller är ansluten till Europeiska ekonomiska samarbetsområdet.
Enligt 4 § samma lag gäller lagen för sådana personuppgiftsansvariga som är etablerade i Sverige. Lagen tillämpas också nar den personuppgiftsansvarige är etablerad i tredje land, men för behandlingen av personuppgifter använder sig av utrustning som finns i Sverige.
Av 5 § PUL framgår att lagen gäller för sådan behandling av personuppgifter som är helt eller delvis automatiserad.
Enligt 7 § samma lag tillämpas inte bestämmelserna i denna lag i den utsträckning det skulle strida mot bestämmelserna om tryck- och yttrandefrihet i tryckfrihetsförordningen eller yttrandefrihetsgrundlagen.
Enligt 21 § PUL är det förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om undantag eller i enskilda fall besluta om undantag från förbudet ovan.
DI har med stöd av 9 § personuppgiftsförordningen (1998:1191) meddelat föreskrifter (DIPS 1998:3) om undantag från förbudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser m.m, vilka emellertid inte är aktuella i förevarande mål.
Enligt 33 § PUL är det förbjudet att till tredje land föra over personuppgifter som är under behandling om landet inte har en adekvat nivå för skyddet av personuppgifterna.
Av 34 § samma lag framgår att det trots förbudet i 33 § i vissa fall är tillåtet att föra over personuppgifter till tredje land, om den registrerade har lämnat sitt samtycke till överföringen eller om överföringen är nödvändig av vissa orsaker som emellertid inte är aktuella i förevarande mål.
I artikel 8 Europakonventionen stadgas följande. Var och en har rätt till skydd för sitt privat- och familjeliv, sitt hem och sin korrespondens. Offentlig myndighet får inte ingripa i denna rättighet annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till den nationella säkerheten, den allmanna säkerheten eller landets ekonomiska valstand, till förebyggande av oordning eller brott, till skydd för halsa eller moral eller till skydd för andra personers fri- och rättigheter.
Av förarbetena till PUL (prop. 1997/98:44 s. 76) framgår att med administrativa frihetsberövanden avses tvångsingripanden enligt lagen (1990:52) med särskilda bestämmelser om vård av unga, lagen (1988:870) om vård av missbrukare i vissa fall, lagen (1991:1128) om psykiatrisk tvångsvård, lagen (1991:1129) om rättspsykiatriskt vård, lagen (1967:940) angående omsorger om vissa psykiskt utvecklingsstörda (upphävd genom 1985:568) och utlänningslagen (1989:529).
Utredningen i målet
DI uppmärksammades genom ett klagomål på att NKMR på organisationens webbplats under rubriken SÖK-tjänst hade publicerat bl.a. namn och bild på tvångsomhändertagna barn. NKMR har plockat bort de aktuella uppgifterna från sin webbplats.
Av DI den 29 mars 2000 utskriven information från NKMR:s webbplats angående i målet aktuell SÖK-tjänst framgår följande. Namn, bild och en utseendebeskrivning har publicerats på två barn tillsammans med uppgifter om att de tvångsomhändertagits samt i ett fall adress till det fosterhem där barnet är placerat. Tillsammans med dessa uppgifter har i det ena fallet publicerats en vädjan om uppgifter om förhållandena i fosterhemmet och i det andra fallet en vädjan om var barnet befinner sig samt förhållandena i fosterhemmet.
Länsrättens bedömning
För att PUL skall vara tillamplig kravs att en rad förutsättningar är uppfyllda. Det territoriella tillämpningsområdet regleras i 4 § PUL enligt vilken det skall finnas en
personuppgiftsansvarig som är etablerad i Sverige. Begreppet "personuppgiftsansvarig" omfattar såväl fysiska som juridiska personer. Det krävs dock att den personuppgiftsansvarige har rättskapacitet, och kan ådömas skadeståndsansvar. Den personuppgiftsansvarige skall vidare ha en sådan bestämmanderätt att den kan andra, komplettera eller radera de personuppgifter som är i fråga. Begreppet "etablerad" har en vid betydelse men den personuppgiftsansvarige skall ha hemvist i en stat och där ha en effektiv och faktisk verksamhet med hjälp av en stabil struktur (p. 19 i ingressen till EG-direktivet 95/46/EG på vilken PUL grundar sig).
Om en ideell förening har en gemensam målsättning, stadgar och en styrelse anses den ha rättskapacitet (jfr. NJA 1973 s. 341). Av handlingarna i målet framgår att NKMR är en ideell förening med ett svenskt organisationsnummer som är registrerad hos Skatteverket samt att föreningen har en styrelse. Av NKMR:s webbsida framgår att de har stadgar. NKMR får därför anses ha sådan rättskapacitet som kravs enligt PUL.
NKMR har anfört att de är en internationell organisation och att PUL av den anledningen inte är tillämplig. NKMR har ett svenskt organisationsnummer och får därför anses ha hemvist i Sverige. Vidare får anses att NKMR har bedriver en "effektiv och faktisk" verksamhet. Länsrätten finner därför att NKMR får anses etablerad i Sverige på ett sådant sätt som avses i PUL.
I 5 § PUL anges att all automatiserad behandling av personuppgifter omfattas av lagen. Som regel är det fråga om automatiserad behandling av personuppgifter sa snart en personuppgift har lagts in i en dator. I det aktuella målet har personuppgifter i form av namn och bild lagts ut på NKMR:s webbsida. Denna hantering får anses utgöra en sådan automatiserad behandling av personuppgifter som avses i PUL.
Av ovanstående genomgång följer att PUL är tillamplig i förevarande mål.
Under den i målet aktuella SÖK-tjänsten har NKMR på sin webbplats behandlat personuppgifter, såsom namn och bild, avseende barn som har tvångsomhändertagits med stöd av LVU. Behandlingen har föranletts av det faktum att barnen är tvångsomhändertagna, vilken även uttryckligen uppges på ifrågavarande SÖK-tjänstsida.
Enligt 21 § PUL får personuppgifter om administrativa frihetsberövanden endast behandlas av myndigheter. En personuppgiftsansvarig som inte är en myndighet och som inte omfattas av ett undantag enligt andra eller tredje stycket samma paragraf får inte behandla personuppgifter om administrativa frihetsberövanden ens med den registrerades samtycke.
De aktuella uppgifterna utgör sådana personuppgifter om administrativa frihetsberövanden som omfattas av 21 § PUL. Inga av de i DI:s föreskrifter föreskrivna undantagen är tillampliga i målet. Att som NKMR har anfört behandlingen av de aktuella personuppgifterna har skett med samtycke har ingen betydelse. NKMR har genom SÖK-tjänsten på sin webbsida behandlat personuppgifter i strid med bestämmelsen i 21 § PUL.
Nar personuppgifter görs allmänt tillgängliga via ett globalt nätverk, t.ex. laggs upp på en webbsida på Internet, kan de nås från de flesta länder i världen av vilka flera säkerligen inte har en adekvat skyddsnivå. I och med att de aktuella personuppgifterna lagts upp på NKMR:s webbsida har de således spridits till tredje land i strid med 33 § PUL.
Da personuppgifterna i fråga inte får behandlas av annan än myndighet ens med den registrerades samtycke, får de inte heller, oavsett samtycke, spridas till tredje land. Den aktuella spridningen omfattas därför inte av undantaget i 34 § PUL.
Tillämpningen av de i målet aktuella bestämmelserna i PUL strider enligt länsrättens mening inte mot bestämmelserna om tryck- och yttrandefrihet i tryckfrihetsförordningen eller yttrandefrihetsgrundlagen.
NKMR har i målet åberopat artikel 8 Europakonventionen. Denna artikel kan emellertid inte anses galla gentemot en förening da den avser rätt till skydd för privat- och familjeliv. Artikeln är därför inte tillamplig i förevarande mål. I och med denna slutsats faller även NKMR:s åberopande av artikel 18 Europakonventionen.
Sammanfattningsvis finner länsrätten att DI haft fog för sitt beslut. Överklagandet skall således avslås.
DOMSLUT
Länsrätten avslår Överklagandet.
HUR MAN OVERKLAGAR, se bilaga (DV 3109/la)
Margit Knutsson
Powered by AIS