Kammarrätten avslår överklagande i mål om söktjänst innehållande uppgiftssamling av avgöranden i LPT- och LVM-mål

Kammarrätten avslår Verifieras överklagande i ett mål om en söktjänst innehållande en uppgiftssamling av avgöranden i LPT- och LVM-mål, och Integritetsskyddsmyndighetens beslut står därmed fast. Verifiera har genom att tillhandahålla en uppgiftssamling med uppgifter om enskildas hälsa behandlat känsliga personuppgifter i strid med artikel 9 GDPR. Vår expert Sandra Rickard analyserar avgörandet.

BAKGRUND OCH RELEVANTA BESTÄMMELSER

Verifiera AB bedriver verksamhet som bland annat består i tillhandahållande av en tjänst som gör det möjligt för användare av tjänsten att genom sökning på personnamn, personnummer eller adress ta del av avgöranden av förvaltningsdomstol i mål enligt lagen (1991:1128) om psykiatrisk tvångsvård (LPT) eller lagen (1988:870) om vård av missbrukare i vissa fall (LVM) som gäller den eftersökta personen.

I målet aktualiseras relationen mellan yttrandefrihetsgrundlagen, YGL, och dataskyddsförordningen (GDPR), särskilt frågan om artikel 9 GDPR kan utgöra en sådan föreskrift om förbud mot offentliggörande av personuppgifter om hälsa som avses i 1 kap. 20 § YGL.

Frågan är om Verifiera AB genom sitt utgivningsbevis har grundlagsskydd för behandlingen eller om delegationsbestämmelsen är tillämplig och det därför är förbjudet att behandla personuppgifter som omfattas av artikel 9 GDPR på det vis som bolaget har gjort.

1 kap. 20 § YGL – delegationsbestämmelsen

1 kap. 20 § infördes i YGL den 1 januari 2019 genom prop. 2017/18:49 och följande tre förutsättningar ska vara uppfyllda för dess tillämplighet (det är således fråga om kumulativa rekvisit):

1. känsliga personuppgifter offentliggörs (första stycket)
2. uppgifterna ingår i en uppgiftssamling som har ordnats på ett sådant sätt att det är möjligt att söka efter eller sammanställa dessa (andra stycket)
3. det finns, med hänsyn till verksamheten och de former under vilka uppgiftssamlingen hålls tillgänglig, särskilda risker för otillbörliga intrång i enskildas personliga integritet (andra stycket).

1 kap. 5 § YGL

1 kap. 5 § YGL stadgar följande.

”Utgivningsbevis utfärdas om

1. verksamheten är ordnad på det sätt som anges i 4 § och överföringarna utgår från Sverige
2. en behörig utgivare har utsetts och åtagit sig uppdraget
3. verksamheten har ett namn som är sådant att det inte lätt kan förväxlas med namnet på en annan verksamhet enligt 4 §. Lag (2018:1802).”

Artikel 9 GDPR

Artikel 9 GDPR innehåller en uppräkning av vilka uppgifter som utgör känsliga personuppgifter i dataskyddslagstiftningens mening. Uppgifter om hälsa finns med i denna uppräkning och utgör således känsliga personuppgifter. Det är som utgångspunkt förbjudet att behandla känsliga personuppgifter om inte något av de uppräknade undantagen i samma bestämmelse eller kompletterande nationell lagstiftning är tillämplig på en viss behandling av personuppgifter.

1 kap. 7 § första stycket dataskyddslagen

Av 1 kap. 7 § första stycket dataskyddslagen (2018:218) följer att GDPR och dataskyddslagen inte ska tillämpas i den utsträckning det skulle strida mot YGL eller tryckfrihetsförordningen, TF. För att undantaget i första stycket ska vara tillämpligt krävs att det är fråga om behandling som omfattas av skyddet enligt mediegrundlagarna (TF och/eller YGL).

1 kap. 7 § andra stycket dataskyddslagen – journalistiskt undantag

1 kap. 7 § andra stycket dataskyddslagen innebär att undantag görs från stora delar av regleringen i GDPR som annars skulle vara tillämplig på en viss behandling. Artiklarna 5–30 och 35–50 GDPR och 2–5 kap. dataskyddslagen ska inte gälla om undantaget är tillämpligt.

LPT

Av LPT följer att tvångsvård endast får ges om patienten lider av en allvarlig psykisk störning och om vissa andra förutsättningar är för handen.

LVM

Av LVM följer att tvångsvård ska beslutas om någon till följd av ett fortgående missbruk av alkohol, narkotika eller flyktiga lösningsmedel är i behov av vård för att komma ifrån sitt missbruk och om vissa andra förutsättningar är för handen.

MÅLET I KAMMARRÄTTEN

Den behandling av personuppgifter som var föremål för Integritetsskyddsmyndighetens (IMY) tillsyn och som sedermera prövades i målet bestod i att Verifiera AB tillhandahöll sökmöjligheter för att ta del av avgöranden i mål enligt LPT och LVM.

Verifiera AB yrkade att kammarrätten med ändring av förvaltningsrättens dom skulle upphäva IMY:s beslut och förde i allt väsentligt fram samma omständigheter som i underinstanserna. IMY ansåg att överklagandet skulle avslås.

Kammarrätten konstaterade inledningsvis att det i målet var fråga om relationen mellan GDPR och YGL och framför allt om huruvida artikel 9 i GDPR kunde utgöra en sådan föreskrift om förbud som avses i 1 kap. 20 § YGL.

Domstolen ansåg att ordalydelsen i 1 kap. 20 § YGL medger att såväl befintlig lag tillämpas som att ny lag beslutas om förbud mot offentliggörande av personuppgifter.

Vidare konstaterade domstolen att GDPR utgör direkt tillämplig lag i Sverige och att artikel 9 om förbud mot behandling av personuppgifter om bland annat hälsa därmed kan tillämpas för sådan behandling som verksamheter med utgivningsbevis utför.

Journalistiskt ändamål och överträdelse

Domstolen ansåg att Verifiera AB är personuppgiftsansvarig för den behandling av personuppgifter som varit föremål för IMY:s tillsyn. Kammarrätten instämde i underinstansernas bedömning att personuppgiftsbehandlingen i fråga inte kunde anses ske för journalistiska ändamål och att Verifiera i strid med artikel 9 i GDPR offentliggör en sådan sökbar uppgiftssamling som medför sådana risker som avses i 1 kap. 20 § YGL.

Journalistiskt ändamål – huvuddragen i underinstansernas resonemang

IMY ansåg att det faktum att en hemsida innehöll vissa publiceringar med ett journalistiskt ändamål inte per automatik innebär att alla publiceringar som förekommer på hemsidan ska anses ha ett sådant ändamål. IMY trycker på att kopplingen mellan personuppgifterna och det redaktionella inslaget bör framstå som tydligt och relevant för att undantaget för journalistiskt ändamål ska kunna göras gällande. Någon sådan tydlig och relevant koppling framkom inte i ärendet. Vidare menade IMY att den verksamhet som Verifiera bedrev genom den för ärendet aktuella uppgiftssamlingen hamnar utanför undantaget för journalistiska ändamål.

Förvaltningsrätten refererade till praxis från EU-domstolen vad gällde definitionen av ”journalistisk verksamhet”. Med journalistisk verksamhet avses enligt praxis sådan verksamhet som syftar till att sprida information, åsikter eller idéer till allmänheten, oberoende av genom vilket medium det sker.

En funktion för bakgrundskontroller som riktar sig till rekryterare kunde enligt förvaltningsrättens mening inte utgöra verksamhet som syftar till att sprida information, åsikter eller idéer till allmänheten varför domstolen ansåg att den behandling av personuppgifter som skedde genom tillhandahållandet av söktjänsten inte kunde anses ske för journalistiska ändamål.

Föreläggande och reprimand

Kammarrätten ansåg precis som förvaltningsrätten att IMY haft grund för att utfärda en reprimand, att det saknades skäl att upphäva föreläggandet och att överklagandet därför skulle avslås.

I det av IMY utfärdade föreläggandet anges att Verifiera ska vidta åtgärder så att det i de tjänster som bolaget erbjuder inte längre ska vara möjligt för användare av tjänsterna att vid sökning med någon av sökparametrarna personnamn, personnummer eller adress ta del av avgöranden i mål enligt LPT eller LVM för den person sökningen avser. Åtgärderna ska ha vidtagits senast åtta veckor efter det att domen vunnit laga kraft.

ANALYS

Vad avser förhållandet mellan 1 kap. 20 § YGL och det journalistiska undantaget i dataskyddslagen hänvisar IMY till förarbetena (prop. 2021/22:59 s. 54). Där uttalas att det är svårt att föreställa sig en situation där en uppgiftssamling som tillhandahålls i en grundlagsskyddad verksamhet undantas från grundlagsskyddet på grund av uppgiftssamlingens karaktär men omfattas av dataskyddslagen journalistundantag.

Domslutet framstår som föga förvånande med tanke på det tämligen infekterade förhållandet mellan svensk grundlag och GDPR.

Den uppgiftssamling som Verifiera har tillhandahållit innebär ett inte obetydligt integritetsintrång varför domstolens resonemang ger uttryck för en avvägning mellan två grundläggande rättigheter där integritetsperspektivet väger tyngst. Domstolen gör en avvägning mellan rättigheter som i sig inte är absoluta. Å ena sidan står yttrande- och informationsfriheten, å den andra sidan rätten till respekt för den personliga integriteten. Delegationsbestämmelsen i 1 kap. 20 § YGL är ett uttryck för den vågskål som i målet förenade yttrandefriheten med integritetsskyddet.
Tanken att ett frivilligt förvärvat utgivningsbevis skulle ge grundlagsskydd för en uppgiftssamling oaktat dess karaktär, och i synnerhet en uppgiftssamling av den karaktär som det var fråga om i målet, ter sig främmande.

Avgöranden i måltyper som LPT och LVM-mål får anses vara oerhört integritetskänsliga dels på grund av att de ger uttryck för några av samhällets mest ingripande åtgärder som kan vidtas i förhållande till enskilda samhällsmedborgare, dels för att det i sig får anses utgöra mycket integritetskänslig information endast sett till rekvisiten som grundar omhändertaganden enligt de båda lagstiftningarna.

Grundlagsskyddet bör reserveras för sådan verksamhet där kopplingen mellan personuppgifterna och det redaktionella innehållet gör sig starkt påmint och framstår som relevant för att undvika risken att integritetsskyddet urholkas inom ramen för det grundlagsskyddade området.

IMY hänvisar till förarbetena (prop. 2021/22:59 s. 54) där följande uttalande görs:

”Det är mot den bakgrunden svårt att föreställa sig en situation där en uppgiftssamling som tillhandahålls i en grundlagsskyddad verksamhet undantas från grundlagsskyddet på grund av uppgiftssamlingens karaktär men omfattas av dataskyddslagens journalistundantag. En bedömning av varje tänkbar situation kan dock givetvis inte göras generellt på förhand.”

Det vore i det närmsta att betrakta som en ”logisk kullerbytta” att konstatera delegationsbestämmelsens tillämplighet och därmed undanta en viss uppgiftssamling från det grundlagsskyddade området och samtidigt tillämpa det journalistiska undantaget i dataskyddslagen för samma uppgiftssamling.

Det skulle innebära att slutsatsen vid en proportionalitetsbedömning blir att det journalistiska undantaget är tillämpligt samtidigt som delegationsbestämmelsen i 1 kap. 20 § YGL hade konstaterats tillämplig.

Av Sandra Rickard, Stadsjurist, Malmö stad
Ursprungligen publicerad i JP ITnet.

Analys av Kammarrätten i Stockholm 2023-06-22, mål nr 1128-23.

Ny praxis och lagändringar kan ha tillkommit sedan texten skrevs. De senaste uppdateringarna och hur dessa påverkat rättsområdet hittar du alltid i relevant informationstjänst.

Publicerad 16 okt 2023

Sandra Rickard

Stadsjurist