Inledning
1.Brottsförebyggande rådet (Brå) fick under 2013 i uppdrag av regeringen att genomföra en kartläggning av de polisanmälda hot och kränkningar riktade mot enskilda personer som skett via internet. I uppdraget ingick bland annat att redovisa i vilken uppfattning de aktuella brotten leder till åtal och lagföring samt att analysera de skäl som finns till att ärenden läggs ner.s. 447
2.Brå redovisade sitt uppdrag i rapporten Polisanmälda hot och kränkningar mot enskilda personer via internet (Brå rapport 2015:6). Av de ärenden som Brå granskat visade sig uppklarningen vara låg, endast fyra procent, 28 ärenden, av de följda, totalt 713, resulterade i åtal för brott begångna helt eller delvis via internet. Övriga granskade ärenden, alltså 685, lades ner. Förklaringen till att ärendena lades ned var bland annat utrednings- och bevissvårigheter men också svårigheter kopplade till lagstiftningen. Problem kopplade till lagstiftningen gällde exempelvis gränsdragningsproblem och svårigheter att uppnå brottsrekvisiten men också att själva lagstiftningen upplevs som komplicerad och svårtillämpad. Det sistnämnda gällde exempelvis personuppgiftslagen (1998:204), förkortad PuL. I rapportens sammanfattning uttalas bland annat följande om PuL (s. 16). Datainspektionen får med jämna mellanrum förfrågningar från polis och åklagare som önskar vägledning i frågan om en publicering på internet är straffbar enligt PuL. Som generaldirektör för Datainspektionen kan jag inte annat än ha förståelse för dem som anser att lagen är svårtillämpad och komplicerad. Det gäller inte minst lagens förhållande till skyddet för tryck- och yttrandefriheten. Jag kommer nedan att gå igenom några av de svårigheter som måste passeras innan ställning kan tas till frågan om en viss publicering är straffbar enligt PuL. Genomgången tar i första hand sin utgångspunkt i PuL:s förhållande till skyddet för tryck- och yttrandefriheten.s. 447
Bakgrund — personuppgiftslagen
1.Syftet med PuL som trädde i kraft den 24 oktober 1998, är att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. Lagen bygger på ett EU-direktiv, Europaparlaments och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (det så kallade dataskyddsdirektivet). Sverige är skyldig att följa direktivet och får inte ha lagstiftning som är strängare eller mildare än vad direktivet medger. Det innebär i praktiken att direktivet till stor del bestämmer innehållet i den svenska lagstiftningen.s. 448
2.Personuppgiftslagen bygger, liksom direktivet, på tekniken att först förbjuda all behandling av personuppgifter och sedan räkna upp de fall där behandling är tillåten. Den som vill behandla personuppgifter måste alltså finna stöd i lagen för att det ska vara en tillåten behandling.s. 448
3.I samband med EU-förhandlingarna inför antagandet av direktivet arbetade de svenska förhandlarna intensivt med att få till stånd lösningar som innebar att direktivet var förenligt med svensk grundlag, i första hand tryckfrihetsförordningen (TF) och yttrandefrihetsgrundlagen (YGL). I ingressen finns därför, efter ett svenskt initiativ, en punkt (72) som gör det möjligt att ta hänsyn till offentlighetsprincipen. Vidare är det enligt artikel 9 i direktivet tillåtet att för all behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande, göra nödvändiga undantag för att förena rätten till privatlivet med reglerna om yttrandefrihet. I samband med att direktivet antogs avgav Sverige i fråga om artikel 9 en förklaring som skrevs in i rådets protokoll. Förklaringen lyder: ”Sverige anser att begreppet konstnärliga och litterära uttryck mer syftar på uttrycksmedlen än kommunikationens innehåll eller dess kvalitet.”s. 448
4.I det lagstiftningsarbete som föregick PuL var frågan om lagens förhållande till tryck- och yttrandefrihetsgrundlagarna en av de mest diskuterade. Lagrådet uttalade exempelvis ”att det, med en försiktig formulering, får anses tveksamt om EG-domstolen skulle acceptera att de bestämmelser i direktivet som införlivas med svensk rätt genom personuppgiftslagen får vika för de svenska grundlagsreglerna i vidare mån än som medges enligt ordalagen av artikel 9 i direktivet” samt avstyrkte att ett så vittgående undantag från integritetsskyddsintressena som följer av TF och YGL och som regeringen föreslagit tolkades in i artiklarna. Lagrådet uttalade också att vill man vara säker på att inte lagstifta i strid med direktivet, bör i stället reglerna i TF och YGL ändras så att en konflikt undviks (prop. 1997/98:44 s. 50).s. 449
5.Resultatet av lagstiftningsarbetet blev emellertid, trots Lagrådets farhågor, att det i 7 § första stycket PuL infördes en uttrycklig erinran om att bestämmelserna i lagen inte ska tillämpas om en sådan tillämpning skulle strida mot bestämmelserna om tryck- och yttrandefrihet i TF och YGL. En sådan erinran ansågs viktig för att inskärpa att tillämpningen vid fall av möjliga konflikter ska präglas av försiktighet och respekt för det grundlagsskyddade området (a.a. s. 52). I förarbetena uttalas bland annat följande (a.a. s. 51). Härutöver infördes för att främja tryck- och yttrandefriheten, ytterligare ett undantag i lagen. Som nämnts är det enligt direktivet tillåtet att göra nödvändiga undantag för all behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande. Eftersom grundlagsskyddet för tryck- och yttrandefriheten i TF och YGL inte avser alla former av yttranden, har inte all journalistisk, konstnärlig eller litterär verksamhet sådant skydd. I förarbetena uttalas följande (a.a. s. 52). Resultatet blev att det i 7 § andra stycket PuL infördes, trots att Lagrådet avstyrkte det, en bestämmelse som stadgar att när personuppgifter behandlas uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande är det endast vissa av personuppgiftslagens regler som ska tillämpas. I praktiken innebär bestämmelsen att det bara är reglerna om säkerhetsåtgärder som ska tillämpas på sådana behandlingar (31 §). I förarbetena uttalas i denna del bland annat följande (a.a. s. 52). Vidare är de ändringar i PuL som trädde i kraft den 1 januari 2007 av stor betydelse för bland annat publiceringar på internet, alltså sådana som omfattas av Brås uppdrag (prop. 2005/06:173). Ändringarna syftade till att underlätta för sådan vardaglig behandling av personuppgifter som typiskt sett inte innebär några större risker för kränkningar av den registrerades personliga integritet. PuL innehåller därför numera två olika regelsystem, dels hanteringsregler som gäller för behandling av personuppgifter i strukturerat material, dels en förenklad reglering för behandling av personuppgifter i ostrukturerat material, den så kallade missbruksregeln (5 a § PuL). För att kunna avgöra vilka regler som gäller, och om en behandling är tillåten, måste man alltså först avgöra vad det är för struktur på materialet.s. 449
6.Med så kallat strukturerat material avses sådant som ingår i eller är avsett att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlätta sökning efter eller sammanställning av personuppgifter. När informationen, till exempel uppgifter i ett dokument- och ärendehanteringssystem eller i en databas, är sorterad för att man enkelt ska kunna söka fram eller sammanställa personuppgifter ska hanteringsreglerna tillämpas.s. 450
7.Med så kallat ostrukturerat material avses enligt förarbetena bland annat löpande text i ett ordbehandlingsprogram och på internet, ljud- och bildupptagningar samt e-post. Som ostrukturerat material räknas också enkla strukturer som namnlistor på nätet och klasslistor, om inte materialet ingår i eller ska infogas i ett strukturerat system. Det är möjligt att använda olika typer av sökmotorer i ostrukturerat material, men om det finns en indexering beträffande personuppgifter övergår materialet till att bli strukturerat. Publicering av texter och bilder på internet, till exempel via bloggar och genom inlägg på sidor som Facebook, är nästan alltid ostrukturerad.s. 451
8.Behandlingen av personuppgifter i ostrukturerat material får, enligt 5 a § andra stycket PuL, inte utföras om den innebär en kränkning av den registrerades personliga integritet.s. 451
9.Behandling av personuppgifter som enligt den så kallade missbruksregeln anses kränkande är i vissa fall straffbar. Det gäller behandling som innefattars. 451
10.• behandling av känsliga personuppgifter enligt 13 § PuL,s. 451
11.• uppgifter om lagöverträdelser m.m. enligt 21 § PuL ochs. 451
12.• överföring av personuppgifter till tredje land enligt 33–35 §§ PuL. En förutsättning för straffbarhet är att överträdelsen sker uppsåtligen eller av grov oaktsamhet. Straffsatsen är böter eller fängelse i högst sex månader. Om brottet är grovt är straffsatsen fängelse i högst två år. Om brottet är ringa, döms inte till ansvar.s. 451
13.Det är också straffbart att uppsåtligen eller av grov oaktsamhet i strid med missbruksregeln föra över personuppgifter till ett tredje land som inte har en adekvat nivå för skyddet av personuppgifter. Majoriteten av de fall som prövats av domstol har gällt åtal för publicering av personuppgifter på internet bland annat i strid med förbudet mot överföring av personuppgifter till tredje land. Efter EU-domstolens dom i det så kallade Bodilmålet (se mer om detta nedan), anses det numera inte vara en tredjelandsöverföring om uppgifterna publiceras på en webbplats på internet och webbplatsen lagras hos en internetleverantör som är etablerad inom EU.s. 451
Undantag gällande TF och YGL
1.Bestämmelserna i PuL ska således inte tillämpas i den utsträckning det skulle strida mot TF och YGL. Det framgår redan av principen om grundlags företräde framför vanlig lag men en upplysningsbestämmelse om detta har alltså tagits in i 7 § första stycket PuL.s. 451
2.Och var går då gränsen mellan det som omfattas av personuppgiftslagen och det som omfattas av grundlagsskydd?s. 451
3.Nedan följer några exempel på publiceringar som omfattas av grundlagsskydd.s. 452
4.Av den så kallade databasregeln i 1 kap. 9 § första stycket YGL följer att bland annat en redaktion för en tryckt periodiskt skrift eller för ett radio- eller TV-program kan få grundlagsskydd för en databas om redaktionen förutom på vanligt sätt även publicerar materialet elektroniskt på begäran av allmänheten, till exempel genom att mottagaren kan gå in på en viss adress på internet och ta del av innehållet. En förutsättning är att mottagaren inte kan påverka innehållet. Som exempel kan nämnas att Högsta förvaltningsdomstolen har ansett att med ”redaktion” i 1 kap. 9 § första stycket YGL avses de personer som har hand om ordnandet och utgivningen av en tryckt, periodisk skrift och att detta gäller även om skriften och de upplysningar som tillhandahålls enbart innehåller uppgifter om betalningsanmärkningar (RÅ 2003 ref. 30). Rättsfallet innebär att den spridning av kreditupplysningar på internet som ett kreditupplysningsföretag, som även ger ut en periodisk skrift med kreditupplysningar, ägnar sig åt genom en redaktion har grundlagsskydd.s. 452
5.Sedan den 1 januari 2003 är det vidare, enligt 1 kap. 9 § andra stycket YGL, möjligt för vem som helst som vill publicera information på internet att ansöka om ett så kallat utgivningsbevis hos Myndigheten för radio och tv. Om vissa formella kriterier är uppfyllda beviljas ansökan och utgivningsbevis utfärdas. Det är själva databasen som omfattas av grundlagsskyddet, i de allra flesta fall är det fråga om en webbplats. På Myndigheten för radio och tv:s webbplats (www.radioochtv.se) kan man kontrollera vem som har ansökt om och fått utgivningsbevis för en databas. För närvarande är cirka 950 utgivningsbevis utfärdade. Som exempel på en databas som har utgivningsbevis, och som Datainspektionen ofta får ta emot klagomål om, kan nämnas www.lexbase.se. Andra exempel är www.ratsit.se och www.hitta.se. Numera har också många kreditupplysningsföretag utgivningsbevis. Det är dock värt att notera att kreditupplysningslagen (1973:1173) kan vara tillämplig trots grundlagsskydd eftersom det finns ett undantag för kreditupplysningsverksamhet i TF och YGL (1 kap. 9 § 4 TF och 1 kap. 12 § YGL).s. 452
6.De exempel som nämnts ovan handlar om publiceringar av information som har grundlagsskydd. Grundlagsskyddet omfattar emellertid inte bara själva publiceringen utan även den verksamhet som föregår publiceringen och som syftar till att framställa material för publicering i ett grundlagsskyddat medium. Ingripanden med stöd av PuL före publicering kan därför vara i strid med förbudet mot censur och andra hindrande åtgärder (1 kap. 2 § TF och 1 kap. 3 § första stycket YGL) medan ingripanden efter publiceringen vanligtvis är förbjudna med hänsyn till den så kallade exklusivitetsprincipen. Insamlingen av uppgifter i publiceringssyfte omfattas av anskaffarfriheten.s. 452
7.Frågan om gränsdragningen mellan den dåvarande datalagen och grundlagsskyddet i TF och YGL har behandlats av bland annat Mediekommittén som uttalade bland annat följande (SOU 1997:49 s. 280 ff.). En invändning om publiceringsavsikt från den som behandlar personuppgifter bör enligt kommittén godtas så länge som den inte framstår som uppenbart osannolik. Kommittén påpekade också att förbudet mot censur och hindrande åtgärder — i normalfallet — endast kan gälla åtgärder som riktas mot just den som producerar eller sprider en framställning som skyddas av TF eller YGL.s. 453
Undantag för journalistiska ändamål eller konstnärligt eller
1.litterärt skapande Även en publicering som inte omfattas av TF och YGL:s regler kan, som framgått ovan, ha ett journalistiskt, konstnärligt eller litterärt ändamål och därmed, enligt 7 § andra stycket PuL, vara undantagen från flertalet av bestämmelserna i lagen. Frågan om tolkningen av bestämmelsen i 7 § andra stycket PuL om undantag för journalistiska ändamål har prövats av Högsta domstolen i det så kallade Ramsbromålet (NJA 2001 s. 409). Högsta domstolen uttalade bland annat följande i fråga om omfattningen av undantaget. Enligt Högsta domstolen syftar undantaget för journalistiskt ändamål till att informera, utöva kritik och väcka debatt i samhällsfrågor av betydelse för allmänheten. Finns det ett sådant intresse, utgör det ett journalistiskt ändamål att informera, kritisera och debattera i frågan, även om man gör det på ett för enskilda personer kränkande sätt. Domstolen gjorde dock ett viktigt undantag för publicering av uppgifter av rent privat karaktär som normalt inte kan anses ha ett journalistiskt ändamål och uttalade i den delen bland annat följande. Ramsbromålet ger viktig vägledning vid publiceringar på internet och innebär att en betydande del av sådana publiceringar omfattas av undantaget för journalistiska ändamål. Men även om man har ett journalistiskt ändamål med sin publicering får man alltså inte publicera vad som helst eftersom uppgifter av rent privat natur enligt Högsta domstolen normalt inte kan ha ett journalistiskt ändamål. Det är därför inte tillräckligt att vid en granskning konstatera att exempelvis en webbplats har ett journalistiskt ändamål utan det måste också utredas om det inom ramen för webbplatsen finns uppgifter av rent privat karaktär.s. 453
2.I en redogörelse för undantagen för tryck- och yttrandefriheten går det inte att bortse från ytterligare några domar från EU-domstolen och Högsta domstolen. I samtliga fall har domstolarna gjort en proportionalitetsbedömning mellan integritetsintresset och tryck- och yttrandefriheten. Värt att notera är att de två förstnämnda ärendena avgjordes innan personuppgiftslagen ändrades genom att den så kallade missbruksregeln i 5 a § infördes för ostrukturerat material.s. 454
3.I det uppmärksammade så kallade Bodilmålet anvisade EU-domstolen nationella domstolar och myndigheter att göra en avvägning, eller proportionalitetsbedömning, i varje enskilt fall mellan integritetsskyddet och andra grundläggande rättigheter, bland andra yttrandefriheten, för att garantera att bestämmelserna i nationell lagstiftning i det konkreta fallet inte tillämpas i strid med andra grundläggande rättigheter (C-101/01, REG 2003 s. I-12971).s. 454
4.Bodilmålet gällde en konfirmandlärare som på en hemsida på internet, för sina konfirmander, publicerade uppgifter om arbetskamrater i församlingen. Presentationen var skriven av henne och i jag-form och innehöll bland annat en uppgift om en vaktmästare som stukat sin fot och var sjukskriven. Efter att Bodil åtalats för bland annat otillåten behandling av känsliga personuppgifter (13 § PUL) och fällts i tingsrätten ställde Göta hovrätt ett antal frågor till EU-domstolen om tolkningen av dataskyddsdirektivet.s. 454
5.EU-domstolen uttalade bland annat följande. Göta hovrätt gjorde vad gäller proportionalitetsbedömningen följande överväganden (RH 2004:51). Efter en helhetsbedömning ogillade emellertid Göta hovrätt åtalet efter som överträdelsen bedömdes vara ringa och föll utanför det straffbelagda området.s. 454
6.Ett annat uppmärksammat rättsfall som också gällde känsliga personuppgifter publicerade på internet, är det så kallade Lundsbergsmålet (NJA 2005 s. 361). I målet hade rektorn på Stiftelsen Lundsberg angivit vissa personuppgifter om en anställd på skolan i ett brev som publicerats på skolans webbplats på internet. Brevet var i första hand riktat till föräldrarna till barn på skolan och av brevet framgick bland annat att den anställde p.g.a. samarbetssvårigheter med elever och föräldrar omplacerats till ett annat elevhem och sedan någon vecka tillbaka var sjukskriven. Åtalet avsåg ansvar för att rektorn genom att lägga ut uppgifterna på hemsidan bland annat hade behandlat känsliga personuppgifter om hälsa i strid med 13 § PuL.s. 455
7.Efter att Högsta domstolen konstaterat att uppgifterna fick anses röra hälsa uttalades följande. Rektorn dömdes enligt 49 § första stycket b) för brott mot 13 § PuL till böter.s. 455
8.EU-domstolen har vidare i den så kallade Satakunnan-domen, behandlat proportionalitetsprincipen och frågan om en behandling av personuppgifter skett uteslutande för ett journalistiskt ändamål (C-73/07, REG 2007 s. I-7075).s. 456
9.Det finska företaget Satakunnans verksamhet innebar att uppgifter gällande fysiska personers förvärvsinkomster, kapitalinkomster och förmögenhet samlades in från skattemyndighetens offentliga handlingar och publicerades i ett tryckalster i alfabetisk ordning och grupperade enligt inkomstklass i kommunvis uppgjorda förteckningar. Dessa uppgifter lämnades ut via en SMS-tjänst på så sätt att den som hade en mobiltelefon kunde sända ett textmeddelande till ett bestämt nummer och, genom att uppge en persons namn och hemkommun, som svarsmeddelande till mobiltelefonen få uppgifter om personens ekonomiska förhållande. I domen sägs bland annat att de begrepp som hör samman med yttrandefriheten, däribland journalistik, ska tolkas i vid mening (p. 56). Anledningen är att tolkningen måste ”beakta yttrandefrihetens betydelse i demokratiska samhällen”. Samtidigt betonar domstolen att en balanserad avvägning mellan skyddet för privatlivet och yttrandefriheten fordras för att undantagen från direktivets bestämmelser inte ska gå utöver gränserna för vad som är strikt nödvändigt. Enligt EU-domstolen ska sådan verksamhet som Satakunnan bedrev anses ske uteslutande för journalistiska ändamål — oberoende av vilket medium som används för spridningen — ”om denna verksamhet endast syftar till att sprida information, åsikter eller idéer till allmänheten”, något som EU-domstolen överlämnar till den nationella domstolen att avgöra (p. 62). Enligt EU-domstolen är sådan verksamhet inte endast förbehållen medieföretag och kan bedrivas i vinstsyfte (p. 61).s. 456
10.Finska Högsta förvaltningsdomstolen konstaterade i sin dom att den aktuella publiceringen inte utgjorde behandling av personuppgifter för ”redaktionella samt konstnärliga eller litterära syften” enligt den finska personuppgiftslagen (HFD 2009:82). Dessutom konstaterade domstolen att det faktum att uppgifterna först hade publicerats i en tidning inte uteslöt att senare publicering av samma uppgifter kunde prövas mot personuppgiftslagen.s. 456
Exempel från Datainspektionen på avvägningar mellan skyddet för
1.privatlivet och yttrandefriheten Som tidigare har nämnts får Datainspektionen med jämna mellanrum förfrågningar från polis och åklagare som önskar vägledning i frågan om en publicering är straffbar enligt PuL. En sådan vägledning, som ges i form av ett skriftligt yttrande, förutsätter svåra avvägningar i fråga om skyddet för privatlivet å den ena sidan och skyddet för yttrandefriheten å den andra. Som exempel kan nämnas ett yttrande från våren 2015 (dnr 2157-2014). Frågeställningen gällde om PuL var tillämplig på en artikel som publicerats på en webbplats och till vilken en brottsmålsdom var bifogad. Den tilltalades personuppgifter, såsom namn och bostadsort, framgick av både artikeln och domen medan målsägandens personuppgifter endast framgick av domen.s. 456
2.Efter att Datainspektionen funnit att publiceringen avseende den tilltalade fick anses omfattas av ett journalistiskt ändamål och därmed var undantagen från huvuddelen av bestämmelserna i PuL gjorde inspektionen följande bedömning i frågan om vissa uppgifter som publicerats var av rent privat karaktär (jfr Högsta domstolens dom i NJA 2001 s. 409). Datainspektionen fann härefter att den så kallade missbruksregeln i 5 a § andra stycket PuL var tillämplig, att publiceringen av målsägandens personuppgifter — i den del PuL var tillämplig — var att anse som kränkande samt att publiceringen var straffbar enligt PuL.s. 457
Avslutande kommentar
1.Den nu gjorda genomgången visar att det ofta är komplicerat att ta ställning till om en publicering på internet är straffbar enligt PuL. Att Brå i sin rapport funnit att PuL används ytterst sällan beträffande hot och kränkningar på internet är alltså inte särskilt förvånande. Till den förklaring som anges i rapporten — att lagen upplevs som komplicerad och att polisens och åklagarnas kunskaper om den är bristande — kommer säkerligen också att polis och åklagare, liksom Datainspektionen, vill hålla ett respektfullt avstånd till det grundlagsskyddade området.s. 458
2.Som Brå också har konstaterat är det överhuvudtaget svårt att lagföra hot och kränkningar på internet. Detta har uppmärksammats av regeringen som tillsatt en särskild utredare med uppdrag att se över det straffrättsliga skyddet för den personliga integriteten (dir. 2014:74). Uppdraget omfattar i första hand straffbestämmelserna om olaga hot, ofredande, förtal och förolämpning men ”om det behövs” ingår även andra straffbestämmelser till skydd för den personliga integriteten (exempelvis straffbestämmelsen i personuppgiftslagen). Enligt direktiven ska utredaren beakta att en rimlig balans mellan olika skyddade rättigheter, särskilt respekten för privatlivet och yttrandefriheten, kan upprätthållas och att det straffrättsliga skyddet möjliggör en avvägning mellan dem i tillämpningen. Även de krav som följer av Europakonventionen ska beaktas. Uppdraget ska redovisas senast den 31 januari 2016.s. 458
3.Även inom EU pågår arbete med att förändra regelverket. I mars 2012 presenterade Europeiska kommissionen ett förslag till nya regler om dataskydd och personuppgiftsbehandling och i juni 2015 träffades i Europeiska unionens råd en principöverenskommelse om innehållet i en ny dataskyddsförordning. Förordningen ska beslutas av rådet och Europaparlamentet gemensamt och förhandlingarna kommer att fortsätta under hösten 2015. Avsikten är att förordningen ska antas i slutet av 2015 för att därefter träda i kraft vid årsskiftet 2017/2018.s. 459
4.Såväl nationellt som inom EU pågår alltså arbete för att skydda enskildas personliga integritet. Det ska bli intressant att följa hur detta skydd och skyddet för yttrandefriheten kommer att balanseras mot varandra.s. 459