text: Datum: 2021-12-08

text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning).

text: Datum: 2021-12-08

text: Tillgänglig här: https://search.coe.int/cm/Pages/result_details.aspx?ObjectId=09000016807c65bf. 3 Tillgänglig här: https://www.coe.int/en/web/conventions/full-list/-/conventions/rms/0900001680078b37.

text: Datum: 2021-12-08

text: Datum: 2021-12-08

text: EDPB Guidelines 01/2020 on processing personal data in the context of connected vehicles and mobility related applications, Version 2.0 antagna den 9 mars 2021, punkt 68. 5 OLG Karlsruhe, dom av den 23 februari 2021, mål nr 14 U 3/19, punkt 30, tillgänglig på https://openjur.de/u/2322753.html.

text: Datum: 2021-12-08

text: Dom av den 11 maj 2015, mål nr 375669, punkt 6 och 7, tillgänglig på https://www.legifrance.gouv.fr/ceta/id/CETATEXT000030580653. 7 Dom av den 6 april 2018, mål nr 406664, punkt 6, tillgänglig på https://www.legifrance.gouv.fr/ceta/id/CETATEXT000036777258/.

text: Datum: 2021-12-08

text: För en genomgång, se Öman, S. Dataskyddsförordningen (GDPR) m.m. JUNO uppl. 1A, under rubriken ”

text: artikel 10

text: lagöverträdelser som innefattar brott”.

text: Datum: 2021-12-08

text: Datum: 2021-12-08

text: Datum: 2021-12-08

text: Det kan noteras att efter utredningen hade lämnat sitt förslag och regeringen lämnat propositionen rättades den svenska lydelse av dataskyddsförordningen på sätt att ”överträdelser” ersattes med ”lagöverträdelser som innefattar brott”.

text: Datum: 2021-12-08

text: Datum: 2021-12-08

text: Datum: 2021-12-08

text: Georgieva, L., i C. Kuner, L.A. Bygrave & C. Docksey (red.), The EU General Data Protection Regulation (GDPR), OUP, Oxford, 2020, Art. 10, avsnitt C. 11 Plath, DSGVO/BDSG 3:e uppl. Art 10 Rdn. 5 f.; Gierschmann/Schlender/Stentzel/Veil, DSGVO 2018 Art. 10 Rdn. 23; Auerhammer, DSGVO. 6:e uppl. 2018 Art. 10 Rdn. 4 f.; Wybitul, Handbuch EU RTBF DatenschutzGrundVO Del 1 Rdn. 304 ff.; Bäcker i BeckOK Datenschutzrecht, § 10 DSGVO per 2020-08-01 Rn. 2 ff., 4. 12 Öman, S. Dataskyddsförordningen (GDPR) m.m. JUNO uppl. 2, kommentaren till

text: artikel 10

text: , under rubriken ”Lagöverträdelser som innefattar brott”.

text: Datum: 2021-12-08

text: Jfr

text: prop. 2021/22:59, s. 47

text: och

text: . 14 Jfr

text: prop. 2021/22:59, s. 47

text: och

text: Datum: 2021-12-08

text: Jfr beträffande känsliga personuppgifter, EDPB:s Guidelines 8/2020 on the targeting of social media users Version 2.0, antagna den 13 april 2021, punkt 122-125 med tillhörande exempel, och EDPB:s

text: Riktlinjer 3/2019

text: för behandling av personuppgifter genom videoenheter, version 2.0, antagna den 29 januari 2020, punkt 62-64 och 68. Jfr även Conseil d'États avgöranden i målen Renault Trucks och PSG Football. 16 En annan sak är att en sådan behandling kan vara tillåten utan att IMY särskilt beslutat om undantag från förbudet att behandla brottsuppgifter om behandlingen är nödvändig för att antingen rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras, eller en rättslig förpliktelse enligt lag eller förordning ska kunna fullgöras (se

text: 5 § förordningen (2018:219)

text: med kompletterande bestämmelser till EU:s dataskyddsförordning).

publisher: Integritetsskyddsmyndigheten

title: Innebörden av begreppet ”personuppgifter som rör lagöverträdelser som innefattar brott” i artikel 10 i dataskyddsförordningen

org: imy

sammanfattning: IMY avser att se över det rättsliga ställningstagandet om brottsuppgifter. IMY bjuder därför in berörda aktörer att inkomma med synpunkter på IMY:s nuvarande rättsliga ställningstagande. Lämna synpunkter senast den 16 februari 2026. Här finns mer information om hur synpunkter kan lämnas. Information om ett rättsligt förfarande som inletts mot en fysisk person utgör personuppgifter som rör lagöverträdelser som innefattar brott i den mening som avses i artikel 10 i dataskyddsförordningen (brottsuppgifter). Detta innebär att t.ex. uppgifter om att en person är eller har varit föremål för en polisanmälan, en förundersökning, ett åtal eller rättegång i ett brottmål omfattas av skyddet i artikel 10. Även friande domar i brottmål omfattas av begreppet brottsuppgifter. Uppgifter om att en fysisk person har eller kan ha begått ett visst brott (brottsmisstankar) kan utgöra brottsuppgifter, även om något rättsligt förfarande inte har inletts. För detta krävs normalt att uppgifterna har en viss konkretionsgrad. En tillräcklig konkretionsgrad har nåtts om uppgifterna avser ett visst brott eller en viss brottskategori. En tillräcklig konkretionsgrad kan också nås genom att uppgifter sammanställs på ett sådant sätt att uppgifterna motsvarar de objektiva rekvisiten i en straffbestämmelse. Om syftet med behandlingen helt eller delvis är att behandla brottsuppgifter, talar det för att det är fråga om brottsuppgifter. När det gäller uppgifter om faktiska iakttagelser av eller passiv registrering av rena händelseförlopp där objektiva brottsrekvisit kan uppfyllas, som exempelvis filmning av möjliga lagöverträdelser vid kamerabevakning, är det normalt sett inte fråga om behandling av uppgifter enligt artikel 10. Således är det inte fråga om behandling av brottsuppgifter om det vid exempelvis kamerabevakning i en livsmedelsbutik fångas ett händelseförlopp som uppfyller de objektiva rekvisiteten för stöld. Om sekvensen med händelseförloppet i efterhand avskiljs i syfte att dokumentera, följa upp eller polisanmäla brottet är det dock fråga om behandling av brottsuppgifter. Ta del av hela dokumentet nedan.

text: 1 Sammanfattning

text: 2 Frågeställning

text: Av EU-domstolens praxis framgår att uppgifter om brottsmisstankar som är föremål för ett rättsligt förfarande omfattas av skyddet i artikel 10. Det finns ett behov att klargöra om uppgifter om att en fysisk person har eller kan ha begått ett visst brott kan utgöra brottsuppgifter, även om det inte finns något rättsligt förfarande gällande brottsmisstanken.

text: 3 Gällande rätt m.m.

text: Lagtext m.m.

text: I artikel 10 i dataskyddsförordningen, med rubriken ”Behandling av personuppgifter som rör fällande domar i brottmål samt lagöverträdelser som innefattar brott”, anges följande:

text: ”Behandling av personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott eller därmed sammanhängande säkerhetsåtgärder enligt artikel 6.1 får endast utföras under kontroll av en myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Ett fullständigt register över fällande domar i brottmål får endast föras under kontroll av en myndighet.”

text: I artikel 6.1 i Europarådets moderniserade konvention om dataskydd av den 17-18 maj 2018, med rubriken “Special categories of data” anges att “the processing of … personal data relating to offences, criminal proceedings and convictions, and related security measures … shall only be allowed where appropriate safeguards are enshrined in law, complementing those of this Convention.” I artikel 6.2 anges att “[s]uch safeguards shall guard against the risks that the processing of sensitive data may present for the interests, rights and fundamental freedoms of the data subject, notably a risk of discrimination.” I den ursprungliga konventionen från 1981 angavs i motsvarande bestämmelse ”[p]ersonal data revealing racial origin, political opinions or religious or other beliefs, as well as personal data concerning health or sexual life, may not be processed automatically unless domestic law provides appropriate safeguards. The same shall apply to personal data relating to criminal convictions.”

text: I lagen (

text: ) med kompletterande bestämmelser till EU:s dataskyddsförordning (

text: dataskyddslagen

text: ) finns i

text: 3 kap.

text: , med rubriken ”Behandling av vissa kategorier av personuppgifter”, två paragrafer under rubriken ”Personuppgifter som rör lagöverträdelser”,

text: och

text: 9 §§

text: Enligt 3 kap. 8 § får personuppgifter som avses i artikel 10 i dataskyddsförordningen behandlas av myndigheter. Även andra än myndigheter får behandla sådana personuppgifter, om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna följa föreskrifter om arkiv.

text: Enligt 9 § får regeringen eller den myndighet som regeringen bestämmer meddela ytterligare föreskrifter om i vilka fall andra än myndigheter får behandla sådana personuppgifter som avses i artikel 10 i dataskyddsförordningen. Den myndighet som regeringen bestämmer får i enskilda fall besluta att andra än myndigheter får behandla sådana uppgifter. Ett beslut får förenas med villkor.

text: I

text: 5 § förordningen (2018:219)

text: med kompletterande bestämmelser till EU:s dataskyddsförordning anges att personuppgifter som avses i artikel 10 i dataskyddsförordningen får behandlas av andra än myndigheter om behandlingen är nödvändig för att

text: 1. rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras, eller 2. en rättslig förpliktelse enligt lag eller förordning ska kunna fullgöras.

text: I 6 § anges att Integritetsskyddsmyndigheten får meddela ytterligare föreskrifter om i vilka fall andra än myndigheter får behandla personuppgifter som avses i artikel 10 i dataskyddsförordningen. Integritetsskyddsmyndigheten får även i enskilda fall besluta att andra än myndigheter får behandla sådana personuppgifter.

text: I 2 § i IMY:s föreskrifter om behandling av personuppgifter som rör lagöverträdelser (

text: DIFS 2018:2

text: ) finns ytterligare föreskrifter om i vilka fall andra än myndigheter får behandla personuppgifter som avses i artikel 10 i dataskyddsförordningen. Enligt samma bestämmelse får personuppgifter som avses i artikel 10 i dataskyddsförordningen behandlas av andra än myndigheter om

text: 1. behandlingen är nödvändig för att fullgöra en föreskrift på socialtjänstområdet,

text: 2. behandlingen avser uppgift i anteckningar som förs i fristående skolors elevvårdande verksamhet eller i motsvarande verksamhet hos enskilda anordnare av högskoleutbildning, 3. behandlingen är nödvändig för kontroll av att jävssituation inte föreligger i advokatverksamhet eller annan juridisk verksamhet, eller 4. uppgifterna avser personer i nyckelpositioner eller ledande ställning inom det egna bolaget eller koncernen och det är sakligt motiverat att behandla uppgifterna i särskilt inrättade rapporteringskanaler för att utreda om personen ifråga varit delaktig i allvarliga oegentligheter som rör bokföring, intern bokföringskontroll, revision, bekämpande av mutor, brottslighet inom bankoch finansväsen, eller andra allvarliga oegentligheter som rör organisationens vitala intressen eller enskildas liv och hälsa.

text: Enligt artikel 8.5 i det numera upphävda dataskyddsdirektivet (direktiv

text: ) gällde följande. Behandling av uppgifter om lagöverträdelser, brottmålsdomar eller säkerhetsåtgärder fick utföras endast under kontroll av en myndighet eller – om lämpliga skyddsåtgärder finns i nationell lag – med förbehåll för de ändringar som medlemsstaterna kunde tillåta med stöd av nationella bestämmelser som innehöll lämpliga och specifika skyddsåtgärder. Ett fullständigt register över brottmålsdomar fick dock föras endast under kontroll av en myndighet.

text: I den numera upphävda

text: personuppgiftslagen (1998:204)

text: som implementerade dataskyddsdirektivet i svensk rätt föreskrevs att det var förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattade brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden (

text: 21 § första stycket

text: ). Enligt

text: 21 § andra stycket

text: fick sådana personuppgifter behandlas för forskningsändamål av andra än myndigheter, om behandlingen hade godkänts enligt lagen (

text: ) om etikprövning av forskning som avser människor. Av

text: tredje stycket

text: följde att regeringen eller den myndighet som regeringen bestämde fick meddela föreskrifter om undantag från förbudet i

text: första stycket

text: . Enligt

text: fjärde stycket

text: fick regeringen i enskilda fall besluta om undantag från förbudet i

text: första stycket

text: och överlåta åt tillsynsmyndigheten att fatta sådana beslut.

text: EU-domstolen

text: EU-domstolen har i målet GC m.fl. slagit fast att information om ett rättsligt förfarande som inletts mot en fysisk person, t.ex. uppgifter om förundersökning och brottmålsrättegång, utgör personuppgifter som rör lagöverträdelser som innefattar brott. Enligt domstolen gäller detta oberoende av om det brott som personen åtalats för faktiskt har styrkts eller inte under domstolsförfarandet (dom GC m.fl.

text: , EU:C:2019:773, punkt 72).

text: EU-domstolen har i målet Latvijas Republikas Saeima funnit att artikel 10 i dataskyddsförordningen är tillämplig på behandling av personuppgifter avseende prickning av förare vid överträdelser av trafikregler (dom Latvijas Republikas Saeima,

text: , EU:C:2021:504, punkt 94). Till grund för denna slutsats erinrade domstolen om att syftet med

text: artikel 10

text: är att säkerställa ett utökat skydd mot sådan behandling som, på grund av att uppgifterna i fråga är särskilt känsliga, kan utgöra ett särskilt allvarligt ingrepp i den grundläggande rätten till respekt för privatlivet och skydd för personuppgifter enligt artiklarna

text: och

text: i EU:s rättighetsstadga (punkt 74). Eftersom de uppgifter som det hänvisas till i artikeln avser beteenden som samhället tar avstånd från, kan tillgång till sådana uppgifter stigmatisera den berörda personen och därmed utgöra ett allvarligt ingrepp i dennes privatliv eller yrkesliv (punkt 75). Omfattningen av begreppet avser uteslutande brott, inte administrativa sanktioner (punkt 77). Skyddet

text: omfattar således bara uppgifter på det straffrättsliga området (punkt 78). Att överträdelserna i den nationella lagstiftningen kvalificerats som förvaltningsrättsliga är dock inte avgörande för bedömningen (punkt 80). Begreppet ”brott” ska ges en självständig och enhetlig tolkning inom hela unionen, med beaktande av det mål som eftersträvas med denna bestämmelse och det sammanhang i vilket den förekommer (punkt 81-84). Avseende bedömningen av om den aktuella överträdelsen är av straffrättslig karaktär, följer av domstolens praxis tre relevanta kriterier, nämligen 1) den rättsliga kvalificeringen av överträdelsen i nationell rätt, 2) överträdelsens art och 3) strängheten i den sanktion som den berörde kan åläggas (punkt 86-88). När det gäller kriteriet överträdelsens art ska det beaktas om sanktionen bland annat har ett repressivt syfte. Att en sanktion även har ett förebyggande syfte betyder inte i sig att den inte kan kvalificeras som straffrättslig, men en åtgärd som bara kompenserar för den skada som vållats genom överträdelsen är inte av straffrättslig karaktär (punkt 89). När det gäller kriteriet strängheten i de sanktioner som överträdelserna kan leda till framhåller EU-domstolen först och främst att prickning endast sker för överträdelser av trafikreglerna av en viss allvarlighetsgrad och att sådana överträdelser kan leda till sanktioner av en viss stränghetsgrad. Vidare är prickning i allmänhet något som tillkommer utöver den sanktion som den som har brutit mot trafikreglerna påförs. Slutligen konstaterar domstolen att själva kumuleringen av prickar får rättsliga följder, exempelvis en skyldighet att avlägga en examen eller till och med ett körförbud (punkt 90). Att kvalificera sådana överträdelser som kan leda till prickning som ”brott” rimmar enligt domstolen väl med syftet med

text: artikel 10

text: , eftersom ett utlämnande till allmänheten av sådana uppgifter kan – med hänsyn till att sådana överträdelser försämrar vägsäkerheten – leda till avståndstagande från samhällets sida och medföra en stigmatisering av den berörda personen (punkt 92).

text: Europeiska dataskyddsstyrelsen (EDPB)

text: Europeiska dataskyddsstyrelsen (EDPB) har uttalat följande i

text: Riktlinjer 01/2020

text: om uppkopplade fordon m.m., under rubriken ”2.1.3 Data revealing criminal offenses or other infractions”.

text: “68. Indeed, some categories of personal data from connected vehicles could reveal that a criminal offence or other infraction has been or is being committed (“offence-related data”) and therefore be subject to special restrictions (e.g., data indicating that the vehicle crossed a white line, the instantaneous speed of a vehicle combined with precise location data). Notably, in the event that such data would be processed by the competent national authorities for the purposes of criminal investigation and prosecution of criminal offence, the safeguards provided for in art. 10 GDPR would apply.”

text: Avgöranden från andra länder inom EU/EES

text: Oberlandesgericht (hovrätten) i Karlsruhe, Tyskland, har i ett mål som bland annat gällde om misstankar om ekonomiska oegentligheter skulle anses omfattas av artikel 10 i dataskyddsförordningen uttalat följande. Landgericht (tingsrätten) har med rätta antagit att

text: artikel 10

text: inte är tillämplig på de aktuella omständigheterna. Senaten (hovrättsavdelningen) delar uttryckligen inte kärandens uppfattning att

text: artikel 10

text: ska gälla för uppgifter som grundar misstanke om brott utan att leda till fällande dom. Det föreligger i fallet inga fällande domar i brottmål och överträdelser eller därmed sammanhängande säkerhetsåtgärder. De är heller inte uppgifter om lagöverträdelser

text: som innefattar brott enligt

text: artikel 10

text: . Syftet med

text: artikel 10

text: är att tillgodose det särskilda behovet av skydd till följd av det officiella fastställandet av att någon har begått ett brott genom en viss handling. En alltför vid tolkning skulle göra bestämmelsen gränslös. Uppgifter om handlingar som grundar misstanke måste därför bedömas inom ramen för de allmänna bestämmelserna.

text: Conseil d'État (Högsta förvaltningsdomstolen) i Frankrike har i ett par avgöranden ansett att motsvarande begrepp enligt den nationella implementeringen av det numera upphävda dataskyddsdirektivet omfattar dels uppgifter som kvalificerats som brottsuppgifter av relevanta rättsliga myndigheter, dels uppgifter som bara troligen kan kvalificeras som brottsuppgifter, om de har samlats in i syfte att fastställa eller förhindra brott. I det s.k. Renault Trucks-målet, som gällde övervakning av anställdas användning av sina arbetsgivares datorer, fann domstolen att begreppet även omfattar uppgifter som samlas in enbart med syftet att fastställa eller förhindra brott, inklusive av tredje part. Behandlingen i fallet, vars enda syfte var att utreda och fastställa barnpornografibrott, omfattades således. I det s.k. PSG Football-målet, som gällde fotbollsklubbars svartlistning av supportrar, fann domstolen att de uppgifter som troligen skulle komma att behandlas var överträdelser av allmänna villkorsbestämmelser eller interna regler kring säkerhet vid sportevenemang, dvs. avtalsbrott. Det enda syftet med behandlingen var att säkerställa säkerheten vid sportevenemang, genom att möjliggöra för evenemangsorganisatörerna att neka tillträde till arenorna för personer som uppträtt farligt och därigenom brutit mot reglerna. Även om uppgifter om beteenden m.m. som därigenom behandlas kan inkludera handlingar som även utgör brott i straffrättslig bemärkelse, är syftet med behandlingen inte att fastställa eller förhindra sådana brott, och de utgör därför inte brottsuppgifter.

text: Svensk praxis

text: IMY har i beslut (2021-05-03 i dnr DI-2021-1856) funnit att uppgift om att en fysisk person har polisanmälts utgör brottsuppgifter, eftersom ett rättsligt förfarande därmed har inletts.

text: IMY har i beslut (2020-11-25 i dnr DI-2019-278) avslagit en begäran om tillstånd för att behandla uppgifter om lagöverträdelser genom kontroll mot icke-allmänt tillgängliga sanktionslistor för att uppfylla skyldigheter enligt "

text: penningtvättslagen

text: " avseende misstankar om penningtvätt och terrorismfinansiering. Med särskilt beaktande av den bristande insynen fann IMY att de registrerades rättigheter vägde tyngre vid en intresseavvägning och att det inte fanns någon annan rättslig grund. Beslutet är överklagat (Förvaltningsrättens i Stockholms mål nr 28259-20).

text: IMY har i beslut (2020-06-25 i dnr DI-2020-3321 m.fl.) ansett att det krävs tillstånd för att behandla uppgifter om lagöverträdelser för en gemensam spärrlista för Bank-ID för de utfärdande bankerna, där en av flera möjliga grunder för att sättas upp på listan är misstanke om brott. Detta eftersom möjligheten att sammankoppla olika uppgifter till en individ ska beaktas enligt skälen 26 och 30 i dataskyddsförordningen och EUdomstolens dom i målet Breyer (dom Breyer,

text: , EU:C:2016:779). Av det nämnda följer att möjligheten att sammankoppla en uppgift till en individ i princip ska vara utesluten i praktiken för att inte omfattas av begreppet personuppgift. Samma synsätt gäller för s.k. brottsuppgifter enligt

text: artikel 10

text: , då det annars skulle göra det

text: möjligt att kringgå den särskilda regleringen för behandling av sådana uppgifter. Det följer även av ordalydelsen av

text: artikel 10

text: , då artikeln ska tillämpas på ”behandling av personuppgifter som rör” s.k. brottsuppgifter. I ärendet konstaterade IMY att även om uppgifter om varför en spärr införts, t.ex. på grund av misstanke om brott, inte skulle behandlas i själva spärrlistan, behandlar den bank som fattat beslut om en sådan spärr underlaget till spärren i egenskap av personuppgiftsansvarig. De personuppgifter som kommer att behandlas avseende de individer som finns upptagna i spärrlistan baserat på personnummer, måste ses i ett sammanhang och inte separat. Det innebär att möjligheten att sammankoppla en uppgift (vilket i fallet skulle vara beslutsunderlag för en spärr på grund av avtalsbrott i form av misstanke om brottslig handling) till en individ (vilket i fallet skulle vara en spärr, baserad på personnummer) i princip ska vara utesluten i praktiken för att inte anses utgöra en brottsuppgift. Mot bakgrund av vad som framförts i ansökan kan möjligheten inte anses vara utesluten.

text: IMY har i beslut (2020-03-10 i dnr DI-2018-9274) ansett att uppgifter om ett åtal och en förundersökning avseende en viss person har utgjort uppgifter om lagöverträdelser som innefattar brott enligt artikel 10 i dataskyddsförordningen. Förvaltningsrätten i Stockholm har efter överklagande delat bedömningen i denna del (Förvaltningsrätten i Stockholms dom 2021-11-23 i mål nr 7565-20). Avgörandet är överklagat (Kammarrätten i Göteborgs mål nr 2232-21).

text: IMY har i beslut (2019-12-13 i dnr DI-2018-22737) ansett att en uppgift om att någon varit åtalad vid en domstol har utgjort en personuppgift om lagöverträdelser enligt artikel 10 i dataskyddsförordningen, även om det inte framgår vilket brott åtalet gällt. Beslutet har vunnit laga kraft efter överklagande till förvaltnings- och kammarrätten (Förvaltningsrätten i Stockholms dom 2020-06-17 i mål nr 1160-20 och Kammarrätten i Stockholms dom 2021-05-28 i mål nr 4738-20).

text: Göta hovrätt har i dom (2018-06-05 i mål nr B 3286-17) fastställt tingsrättens fällande dom för brott mot 49 § första stycket e i den numera upphävda

text: personuppgiftslagen

text: (med tillämpning av punkten 7 i övergångsbestämmelserna till

text: dataskyddslagen

text: ). Den tilltalade hade på sin öppna sida på ett socialt medium gjort en publicering som ”pekat ut [målsäganden] med namn, bild och uppgift om bostadsadress samt med en tydlig beskrivning av det enligt [den tilltalades] uppfattning klandervärda i [målsägandens] agerande, som får anses utgöra en uppgift om lagöverträdelse”, vilket föranledde hovrätten att konstatera att ”[u]ppgifterna har således inte varit så allmänt hållna att [den tilltalades] agerande på den grunden skulle vara straffritt.” Texten i inlägget bestod av ”[t]ryggt när sådana människor är yrkestrafikanter!” och ”[h]är är killen som gjorde livet surt för ett gäng med cyklister i tisdags. (Räddningsman!, ja fy fan!)”. Att målsäganden vid tiden för inläggets publicering vare sig var misstänkt eller dömd för brott föranledde ingen annan bedömning. Vidare avfärdade hovrätten med hänvisning till

text: NJA 2001 s. 409

text: den tilltalades invändning om att agerandet vara att bedöma som ett inlägg i samhällsdebatten i frågan om förhållandet mellan cyklister och bilister och att agerandet därmed var att bedöma som journalistik och på den grunden straffritt.

text: IMY har i ett antal beslut, varav vissa fastställts i domstol efter överklagande, klargjort vilka typer av uppgifter som utgjort brottsuppgifter enligt den till

text: artikel 10

text: motsvarande bestämmelse i

text: personuppgiftslagen

text: 21 §

text: . I dessa beslut har följande uppgifter ansetts utgöra brottsuppgifter (listade efter senaste avgörandet i högsta instans):

text: 1. Uppgifter som gör det möjligt att utläsa vilken genomsnittshastighet en förare har hållit under en viss körning av ett fordon och hur stor del av tiden gällande hastighetsbegränsning har överträtts samt med hur mycket, utan att det går att utläsa var eller när överträdelsen skett; annorlunda utgång i ett ärende med motsvarande uppgifter där uppgift om aktuell hastighetsbegränsning inte behandlas och därmed ingen slutsats dras om huruvida hastighetsbegränsningen har överträtts (IMY:s beslut 2013-11-18 i dnr 768- 2013 och 2016-11-11 i dnr 1760-2016), 2. Uppgifter om fordon som förekommit i samband med obetalda tankningar (IMY:s beslut 2011-05-11 i dnr 1563-2010 och 1564-2010, fastställt genom Högsta förvaltningsdomstolens dom 2016-02-16 i

text: HFD 2016 ref. 8

text: , det s.k. TankStopp-målet), 3. Uppgifter om IP-adresser i kombination med uppgift om att adressen använts dels vid försök till intrång eller genomförda intrång i internetbanker, dels i samband med intrångs- eller angreppsförsök eller tillgänglighets- och överbelastningsattacker mot en banks internetbank eller publika webbsidor (IMY:s beslut 2008-03-18 i dnr 1402-2007 2015-01-20 i dnr 905-2014), 4. Digitala bilder på skadegörelse i form av klotter med beteckningar på en enskild klottrare, s.k. tag, eller ett gäng klottrare, s.k. crew, om polisen kan härleda klottret till en viss person (IMY:s beslut 2005-08-30 i dnr 1020-2005, 2011-04-13 i dnr 352-2011 och 2012-10-09 i dnr 530-2012), 5. Uppgifter relaterade till att en person har fått tillträdesförbud av åklagare eller avstängts av en fotbollsklubb från att delta vid fotbollsevenemang (IMY:s beslut i 2011-05-30 i dnr 1841-2010), 6. Uppgift om IP-nummer tillsammans med påstående om att innehavaren av numret har begått upphovsrättsintrång i s.k. abuse-brev eller vid polisanmälan (IMY:s beslut 2005-06-08 i dnr 593-2005, fastställt genom Kammarrätten i Stockholms dom 2009-04-21 i mål nr 285-07, samt IMY:s beslut 2005-10-13 i dnr 1019-2005 och 2006-12-15 i dnr 1632-2006), 7. Uppgifter om personer som förekommer på USA:s lista över personer vars ekonomiska transaktioner ska blockeras eller frysas (s.k. sanktionslistor) (IMY:s beslut 2006-02-24 i dnr 1344-2005 och 2009-03-09 i dnr 152-2009), 8. Övervakningen av köp- & säljannonser på internet, som innebär en systematisk registrering och genomgång av annonstexter i syfte att upptäcka förekomst av bedrägerier eller andra brott (IMY:s beslut 2008-01-28 i dnr 886- 2007), 9. Systematisk övervakning av internetpokerspelares spelbeteende i syfte att upptäcka bedrägerier m.m. (IMY:s beslut 2007-09-21 i dnr 424-2007), 10. Uppgifter i en privat tjänst för elektronisk polisanmälan, som möjliggör angivelse av misstänkt förövare i kombination med angivelse av aktuellt brott (IMY:s beslut 2006-07-10 i dnr 706-2006, fastställt genom Länsrätten i Stockholms läns dom 2007-10-24 i mål nr 16617-06), 11. Systematisk registrering av personer som skräpar ned vi återvinningsstationer bestående av fotografier på personerna och uppgifter om iakttagelser om nedskräpningen (IMY:s beslut 2006-10-12 i dnr 750-2006, fastställt genom Länsrätten i Stockholms läns dom 2007-10-19 i mål nr 23910-06), 12. Uppgifter i en privat tjänst för elektronisk anmälan bestående av alias och epostadresser för personer i kombinationen med uppgift om misstanke om att vederbörande har begått sexualbrott, misshandel eller verbal kränkning (IMY:s beslut 2007-05-02 i dnr 1625-2006 och dnr 58-2007), 13. Digitala bilder på enskilda som gripits av ett räddnings- och säkerhetsföretag som misstänkta för skadegörelse (IMY:s beslut 2006-04-25 i dnr 366-2006),

text: 14. Uppgift om att en hyresgäst har hotat en anställd hos en hyresvärd när hyresvärden genom att polisanmäla händelsen gjort gällande att det föreligger misstanke om brott (IMY:s beslut 2005-06-08 i dnr 81-2005), samt 15. Uppgifter om dels personer som har lämnat in gods till en pantbank som sedan beslagtagits av polismyndigheten som behandlas med ändamålet att förhindra att Pantbanken besöks av personer som bedriver kriminell verksamhet eller att Pantbanken medverkar till hantering av stulet gods, dels personer som uppträtt hotfullt mot personalen eller andra kunder hos pantbanken med följd att polis tillkallats eller åtal väckts (IMY:s beslut 2005- 04-27 i dnr 1917-2004).

text: Av avgörandena ovan är det endast det s.k. TankStopp-målet som prövats av Högsta förvaltningsdomstolen, där domstolen anförde i huvudsak följande avseende den aktuella behandlingen (

text: HFD 2016 ref. 8

text: ”Den planerade behandlingen - inom systemet TankStopp - syftar till att lösa bensinstationsbranschens problem med smitning från bensinstationer utan att förskottsbetalning behöver göras obligatorisk för samtliga förare som vill betala i kassan. TankStopp ska hindra att fordon som tidigare har tankats utan att betalning har skett, på nytt ska kunna tankas utan krav på förskottsbetalning. Systemet ska fungera på så sätt att en särskild kamera vid bensinstationens infart automatiskt läser av registreringsnumret på ett fordon som körs in på stationen. Därefter jämförs numret automatiskt med registreringsnummer som tidigare har registrerats i säkerhetsföretagets centrala databas över fordon som tankats utan att betalning har erlagts. Om fordonet finns registrerat i databasen får personalen på den aktuella bensinstationen uppgift om detta och kan då kräva att tankningen förskottsbetalas i bensinstationens butik. Uppgifter avseende fordon som inte varit föremål för olovlig tankning raderas omedelbart. Det är bara fordon som använts vid en obetald tankning som registreras i den centrala databasen, vilket sker genom att bensinstationspersonal noterar bl.a. tidpunkt och obetalt belopp, liksom fordonets modell, färg, särskilda kännetecken och registreringsnummer. Säkerhetsföretaget skickar sedan, baserat på Transportstyrelsens fordonsregister, per brev en underrättelse till fordonsägaren om att fordonet förekommit vid en obetald tankning och därför registrerats i databasen. Fordonets ägare får på så sätt möjlighet att t.ex. bestrida att fordonet varit föremål för viss obetald tankning eller anmäla att det varit stulet. Hanteringen av den fordran som uppstått till följd av en obetald tankning sköts självständigt av bensinstationerna.

text: Som underinstanserna har funnit får registrering av uppgifter om fordon som förekommit i samband med obetalda tankningar anses innefatta en behandling av personuppgifter om lagöverträdelser som innefattar brott i den mening som avses i

text: personuppgiftslagen

text: . Det är enligt huvudregeln förbjudet för andra än myndigheter att behandla sådana uppgifter. De undantag som gäller enligt Datainspektionens föreskrifter medger inte den aktuella behandlingen. För att vara tillåten förutsätter den således ett särskilt beslut om undantag från förbudet.”

text: Svenska förarbeten

text: I förarbetena till

text: dataskyddslagen

text: prop. 2017/18:105, s. 98

text: f.) anges följande.

text: ”Frågan om i vilken utsträckning brottsmisstankar omfattas av begreppet lagöverträdelser som innefattar brott har varit föremål för diskussion.

text: Datalagskommittén menade att en uppgift om att någon har eller kan ha begått stöld otvivelaktigt utgör en uppgift om lagöverträdelse, även om det inte finns någon dom beträffande brottet. Uppgifter om faktiska iakttagelser om en persons handlande kunde dock enligt Datalagskommittén inte rimligen anses som uppgifter om lagöverträdelser i alla de fall handlandet kan innebära en lagöverträdelse (

text: SOU 1997:39 s. 380

text: ). Högsta förvaltningsdomstolen har i det s.k. TankStopp-målet (

text: HFD 2016 ref. 8

text: ) uttalat att registrering av uppgifter om fordon som förekommit i samband med obetalda tankningar ska anses innefatta en behandling av personuppgifter om lagöverträdelser som innefattar brott i den mening som avses i

text: personuppgiftslagen

text: . Utredningen har mot denna bakgrund, i avsaknad av klargörande EU-rättslig praxis, bedömt att misstankar om brott bör omfattas av artikel 10 i dataskyddsförordningen i samma utsträckning som de gör enligt

text: personuppgiftslagen

text: . Flera remissinstanser invänder mot denna bedömning och anser att den saknar stöd i dataskyddsförordningen. Svensk Handel konstaterar bl.a. att kamerabevakning skulle bli omöjlig och helt utan verkan för det fall det alltid skulle vara förbjudet för andra än myndigheter att behandla personuppgifter som innefattar misstanke om brott. Svensk Handel menar att det inte kan vara avsikten med vare sig dataskyddsförordningen,

text: dataskyddslagen

text: eller

text: kamerabevakningslagen

text: Ett av de huvudsakliga syftena med dataskyddsförordningen är att åstadkomma en ytterligare harmonisering av dataskyddsregleringen för att undanröja hindren för det fria flödet av personuppgifter inom EU (se t.ex. skäl 9 och 13). Det är därför angeläget att

text: artikel 10

text: inte tolkas på ett mer extensivt sätt i Sverige än i andra medlemsstater. Som konstateras ovan har

text: artikel 10

text: en annan utformning än motsvarande reglering i dataskyddsdirektivet och

text: personuppgiftslagen

text: . Det är därför, som bl.a. Svensk Handel är inne på, inte säkert att praxis enligt

text: personuppgiftslagen

text: kring vilka uppgifter som omfattas av regleringen om personuppgifter som rör lagöverträdelser fortfarande är aktuell. När det gäller kameraövervakning kan konstateras att Utredningen om kameraövervakning – Brottsbekämpning och integritetsskydd (Ju 2015:14) anser att

text: artikel 10

text: måste tolkas så att den inte tar sikte på sådana möjliga lagöverträdelser som kan fångas på bild vid kameraövervakning (

text: SOU 2017:55 s. 121

text: ). Regeringen instämmer i den bedömningen.”

text: I förarbetena till

text: kamerabevakningslagen

text: prop. 2017/18:231 s. 105

text: ) anges följande.

text: ”Mot bakgrund av vad Svenskt näringsliv framför om behovet av utvidgade möjligheter till kamerabevakning som avser misstankar om brott bör framhållas att regleringen i artikel 10 i dataskyddsförordningen om behandling av personuppgifter som rör lagöverträdelser, bör tolkas så att den inte tar sikte på sådana möjliga lagöverträdelser som kan fångas på bild vid kamerabevakning (se

text: prop. 2017/18:105 s. 98

text: ). Den aktuella bestämmelsen utgör därför i regel ingen begränsning av möjligheterna för enskilda subjekt att bedriva kamerabevakning för brottsbekämpande ändamål.”

text: I utredningen som föregick

text: dataskyddslagen

text: SOU 2017:39 s. 193

text: ) anges följande.

text: ”Begreppet överträdelser bedömer vi som nämnts ovan som likvärdigt med direktivets begrepp lagöverträdelser, vilket i

text: personuppgiftslagen

text: tolkades som

text: lagöverträdelser som innefattar brott. Detta överensstämmer också med den engelska och franska versionen av förordningen. För att inte riskera en alltför vid tolkning av ordet överträdelser i svensk rätt bör därför begreppet lagöverträdelser som innefattar brott användas även fortsättningsvis. I vilken utsträckning misstankar om brott omfattas av begreppet överträdelser i förordningen framgår inte av artikeltext eller skäl. I avvaktan på klargörande EU-rättslig praxis bedömer vi att misstankar om brott bör omfattas i samma utsträckning som de gör enligt

text: personuppgiftslagen

text: Regeringen har lagt fram ett förslag om ändringar i

text: 1 kap. 13 § tryckfrihetsförordningen

text: (TF) och

text: 1 kap. 20 § yttrandefrihetsgrundlagen

text: (YGL) som om det antas av riksdagen kommer innebära att grundlagsskyddet för söktjänster som offentliggör personuppgifter om lagöverträdelser begränsas (

text: prop. 2021/22:59

text: ). Lagändringarna föreslås träda i kraft den 1 januari 2023. I propositionen uttalas bl.a. följande om begreppen fällande domar i brottmål och lagöverträdelser som innefattar brott (s. 47 f.).

text: ”Som påpekar innefattar redan en uppgift om ett rättsligt förfarande i form av en förundersökning som har inletts mot en fysisk person en uppgift om en lagöverträdelse i den mening som uttrycket har i dataskyddsregleringen (EU-domstolens avgörande den 24 september 2019 i

text: mål C-136/17

text: , G.C. m.fl.). En uppgift om att någon har eller kan ha begått något visst brott utgör en personuppgift som rör en lagöverträdelse som innefattar brott. Detta gäller alltså även om det inte finns ett slutligt avgörande som slår fast ett ansvar för det misstänkta brottet. Uppgifter om att någon har dömts till en straffrättslig påföljd, såsom fängelse eller skyddstillsyn, bör också anses utgöra en personuppgift som rör lagöverträdelser som innefattar brott eller personuppgifter som rör en fällande dom i brottmål, oberoende av om det av uppgifterna framgår vilken lagöverträdelse som föranlett straffet eller inte (se Öman, Dataskyddsförordningen [GDPR] m.m., kommentaren till

text: artikel 10

text: , JUNO, version 1A). De föreslagna bestämmelserna omfattar alltså uppgifter som direkt eller indirekt kan härledas till fysiska personer och som rör handlanden som är straffbara.

text: Regeringen konstaterar mot den bakgrunden att uppgifter om t.ex. strafftid, placering och permission i normalfallet torde utgöra uppgifter om lagöverträdelser som innefattar brott. När det gäller frikännande domar i brottmål är saken mer komplex. Uppgifter som förekommer i en sådan dom och som avser åtalet och domstolens prövning av detta torde i stor utsträckning omfattas av uttrycket lagöverträdelser som innefattar brott. Det kan exempelvis vara så att en prövning som innebär att ett åtal ogillas i en del fall innefattar ett ställningstagande till att en brottslig gärning i och för sig har begåtts. Det kan t.ex. vara fallet om den frikännande domen meddelas på grund av åtalspreskription. Enligt regeringens uppfattning kan distinktionen mellan fällande och friande domar samtidigt antas få en förhållandevis liten betydelse i praktiken. Det beror främst på att redan en uppgift om en brottsmisstanke omfattas av bestämmelsens ordalydelse.

text: Till skillnad från bl.a. Juridikfronten anser regeringen att det under alla förhållanden inte finns skäl att utforma delegationsreglerna så att de uttryckligen generellt omfattar varje form av avgörande som innebär att en person slutligt frikänts från en brottsmisstanke. Det bör finnas ett utrymme för rättstillämparen att bl.a. i ljuset av utvecklingen av praxis på dataskyddsområdet närmare klargöra innebörden av uttrycket personuppgifter som rör lagöverträdelser som innefattar brott.

text: Åklagarmyndigheten och Svenska kyrkan ifrågasätter om inte även personuppgifter om brottsoffer bör omfattas av delegationsbestämmelserna. Regeringen konstaterar att det finns integritetshänsyn som talar för att offentliggöranden av personuppgifter som rör den som har utsatts för ett brott bör undantas från mediegrundlagarnas skydd. Det kan framstå som inkonsekvent att undanta personuppgifter avseende den som begått en lagöverträdelse men inte avseende brottsoffer, även om den stigmatisering som kan följa den som har begått en lagöverträdelse inte gör sig gällande på samma sätt för brottsoffer. Regeringen gör bedömningen att uppgifter om ett brottsoffer kan anses vara en uppgift som avser en lagöverträdelse som innefattar brott och därför bör omfattas av de föreslagna delegationsbestämmelserna.

text: Svenska kyrkan anser vidare att regleringen bör träffa även personuppgifter om vittnen i brottmål. Till skillnad från den som har begått en lagöverträdelse och brottsoffer har vittnen emellertid inte den direkta koppling till den brottsliga gärningen som medför att uppgiften blir integritetskänslig. Personuppgifter om vittnen i brottmål bedöms i normalfallet inte vara av sådan karaktär att de kan omfattas av undantagsbestämmelserna.”

text: I författningskommentaren till de föreslagna bestämmelserna (

text: a. prop. s. 73

text: ) anges bl.a. följande. Bestämmelserna förutsätter inte att reglering i vanlig lag ska införas senare genom särskild lagstiftning utan medger tvärtom tillämpning av redan befintlig nationell eller EU-rättslig lagstiftning. I den mån befintliga regler om behandling av personuppgifter är tillämpliga på en viss behandling så gäller alltså dessa. För närvarande innebär det att EU:s dataskyddsförordning och kompletterande nationell lagstiftning blir tillämplig. Det framgår av paragrafens förarbeten att direkt tillämpliga EU-rättsakter jämställs med lag i paragrafens mening och att bestämmelsen även ger utrymme att föreskriva om åtgärder som är mindre ingripande än förbud (jfr

text: prop. 2017/18:49 s. 188

text: Vidare anges följande i författningskommentaren till de föreslagna bestämmelserna (

text: a. prop. s. 78

text: ”[Bestämmelserna] möjliggör föreskrifter i lag om förbud mot offentliggörande av personuppgifter som rör fällande domar i brottmål eller lagöverträdelser som innefattar brott eller därmed sammanhängande beslut om häktning och andra straffprocessuella tvångsmedel. Det är uppgiftens karaktär som avgör om bestämmelsen är tillämplig. Frågan om varifrån uppgiften har inhämtats är i allmänhet inte av avgörande betydelse. Med uppgift om fällande domar i brottmål avses inte bara uppgifter som är direkt hänförliga till domen (dvs. uppgifter om att någon har fällts till ansvar och dömts till en straffrättslig påföljd såsom fängelse eller skyddstillsyn) utan även uppgifter om strafftid, placering och permission, som kan förekomma i beslut av Kriminalvården, omfattas av bestämmelsen.

text: En uppgift som rör en lagöverträdelse som innefattar brott kan vara exempelvis en uppgift om att någon har mottagit ett strafföreläggande, en åtalsunderlåtelse eller en straffvarning. Det kan också vara en uppgift om brottsmisstanke, t.ex. uppgift om att förundersökning har inletts. Även uppgifter som förekommer i en frikännande dom i ett brottmål kan omfattas av detta uttryck. Det kan exempelvis vara så att en prövning som innebär att ett åtal ogillas innefattar ett ställningstagande om att en brottslig gärning i och för sig har begåtts. Det kan t.ex. vara fallet om den frikännande domen meddelas p.g.a. åtalspreskription efter en

text: bedömning av brottets rubricering. Vidare kan även uppgifter om ett brottsoffer vara en uppgift som avser en lagöverträdelse som innefattar brott.”

text: Litteratur

text: I engelsk litteratur har det konstaterats att uppgifter om blotta misstankar om brottsliga gärningar (”criminal activity”) inte uttryckligen berörs i

text: artikel 10

text: eller annars nämns i dataskyddsförordningen. Det anförs att det är oklart om sådana uppgifter omfattas, men att de potentiellt svåra konsekvenser som behandling av sådana uppgifter kan medföra för enskilda talar för att medlemsstaterna får utvidga begreppet ”lagöverträdelser som innefattar brott” till att innefatta även sådana uppgifter.

text: I den tyska litteraturen har misstankar om brott inte ansetts utgöra brottsuppgifter. Motiveringen är att syftet med

text: artikel 10

text: är det särskilda behovet av skydd till följd av det officiella fastställandet av att någon har begått ett brott genom en viss handling och att en alltför vid tolkning skulle göra bestämmelsen gränslös. Brottsmisstankar måste därför bedömas inom ramen för de allmänna bestämmelserna (

text: artikel 6

text: I den svenska litteraturen har Sören Öman uttryckt motsatt uppfattning till den tyska. Öman anför att ”[e]n uppgift om att någon har eller kan ha begått något visst brott utgör en personuppgift som rör en lagöverträdelse som innefattar brott, även om det inte finns någon fällande brottmålsdom eller motsvarande beträffande brottet.” Öman anser därför att ”[p]åståenden om brott eller brottsmisstankar lär alltså vara uppgifter om lagöverträdelser som innefattar brott.” Enligt Öman ”krävs [det] förmodligen att uppgiften på ett eller annat sätt kvalificerats till att avse något visst brott eller åtminstone någon viss brottskategori, t.ex. sexualbrott”. Gällande uttalandena i de svenska förarbetena avseende eventuell fortsatt relevans av tidigare praxis mot bakgrund av den ändrade lydelsen i artikel 10 i dataskyddsförordningen jämfört med tidigare bestämmelser, för Öman fram att det i den svenska språkversionen av dataskyddsdirektivet och

text: personuppgiftslagen

text: angavs “uppgifter/personuppgifter om lagöverträdelser” (och “offences”, “Straftaten”, “infractions” i den engelska, tyska och franska), medan det i artikel 10 i dataskyddsförordningen, efter rättelse av den svenska språkversionen på svenskt initiativ, anges “personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott” (“criminal convictions and offences”, “strafrechtliche Verurteilungen und Straftaten”, “aux condamnations pénales et aux infractions” i den engelska, tyska och franska). Öman uttalar därvid att han ”har svårt att se att den ändrade lydelsen avseende lagöverträdelser kan ha betydelse för vilka påståenden om sådana överträdelser som omfattas av artikeln”.

text: 4 Bedömning

text: Inledning

text: EU-domstolen har i målet Latvijas Republikas Saeimas slagit fast att ”lagöverträdelser som innefattar brott” och ”brott” är självständiga unionsrättsliga begrepp. De kan därmed inte ges en nationell tolkning vid tillämpning av dataskyddsförordningen.

text: Den rättsliga kvalificeringen av en överträdelse i nationell rätt är således inte avgörande för om den utgör ett brott i den mening som avses i

text: artikel 10

text: . Det måste

text: därför göras en bedömning i det enskilda fallet utifrån EU-domstolens uttalanden i domen för att avgöra om en överträdelse som nationellt kvalificerats som förvaltningsrättslig, t.ex. på skatte- eller miljöområdet, omfattas av

text: artikel 10

text: Rättsliga förfaranden

text: Av EU-domstolens dom i målet GC m.fl. följer att information om ett rättsligt förfarande som inletts mot en fysisk person utgör brottsuppgifter, oberoende av om det brott som personen åtalats för faktiskt har styrkts eller inte under domstolsförfarandet. EUdomstolen har således bedömt att uppgifter om att det inletts en förundersökning eller en rättegång i ett brottmål omfattas av skyddet i

text: artikel 10

text: . IMY har bedömt att detta gäller även en uppgift om att en fysisk person har polisanmälts, eftersom ett rättsligt förfarande därmed har inletts (IMY:s beslut 2021-05-03 i dnr DI-2021-1856). Enligt IMY:s bedömning följer av EU-domstolens dom i målet GC m.fl. att

text: artikel 10

text: även omfattar uppgifter om att en fysisk person tidigare har varit föremål för ett rättsligt förfarande utan att det meddelats en fällande dom. Detta innebär att t.ex. uppgifter om en nedlagd förundersökning eller en friande dom i ett brottmål, omfattas av skyddet i

text: artikel 10

text: Genom EU-domstolens dom i målet GC m.fl. har således, i motsats till vad som hävdats i viss tysk doktrin och praxis, slagits fast att det inte krävs en fällande dom i ett brottmål eller motsvarande (t.ex. ett godkänt strafföreläggande) för att

text: artikel 10

text: ska vara tillämplig. Det kan hävdas att detta följer redan av lydelsen i

text: artikel 10

text: , eftersom det annars inte hade varit nödvändigt att lägga till ”lagöverträdelser som innefattar brott” efter ”fällande domar i brottmål” (jfr ”criminal convictions and offences” i den engelska språkversionen).

text: Brottsmisstankar utan rättsligt förfarande

text: EU-domstolens praxis ger inte något svar på frågan om

text: artikel 10

text: är tillämplig på uppgifter om misstankar om brott när det inte inletts något rättsligt förfarande. Det finns inte heller något tydligt svar på frågan i beslut eller vägledningar från EDPB.

text: I svensk praxis enligt

text: personuppgiftslagen

text: ansågs uppgifter om brottsmisstankar utgöra uppgifter om lagöverträdelser som innefattar brott, även om det inte inletts något rättsligt förfarande. I propositionen till

text: dataskyddslagen

text: prop. 2017/18:105, s. 98

text: f.) uttalas att det inte är säkert att praxis enligt

text: personuppgiftslagen

text: kring vilka uppgifter som omfattas av regleringen om personuppgifter som rör lagöverträdelser fortfarande är aktuell. Detta eftersom artikel 10 i dataskyddsförordningen har en annan utformning än motsvarande reglering i dataskyddsdirektivet och

text: personuppgiftslagen

text: . Efter propositionen ändrades dock den svenska språkversionen av

text: artikel 10

text: och den överensstämmer nu i den relevanta delen med motsvarande bestämmelse i

text: personuppgiftslagen

text: . Det skäl som angavs i propositionen till varför äldre praxis inte skulle vara relevant vid tolkningen av förordningen föreligger således inte längre.

text: Enligt IMY:s bedömning bör uttrycket personuppgifter som rör lagöverträdelser som innefattar brott i artikel 10 i dataskyddsförordningen – i avvaktan på praxis från EUdomstolen eller tydlig vägledning från EDPB – ges samma innebörd som motsvarande uttryck i

text: personuppgiftslagen

text: . Det innebär att uppgifter om brottsmisstankar kan omfattas av uttrycket, även om det inte inletts något rättsligt förfarande. En sådan tolkning ligger också i linje med EU-domstolens uttalanden i domen Latvijas Republikas Saeimas att syftet med bestämmelsen ska beaktas, nämligen att skydda den berörda personen från sådan behandling som riskerar leda till allvarliga ingrepp i

text: dennes privatliv eller yrkesliv, t.ex. om allmänhetens tillgång till uppgifterna leder till avståndstagande från samhällets sida och medför en stigmatisering av den berörda personen. Påståenden om brott och brottsmisstankar torde i många fall kunna leda till sådana konsekvenser, särskilt på grund av osäkerheten kring uppgifternas riktighet och att det kan vara svårt att få motsatsen bevisad.

text: Alla uppgifter som rör misstankar om brott omfattas dock inte av

text: artikel 10

text: . Enligt IMY:s bedömning krävs det att uppgifterna har en viss konkretionsgrad. En tillräcklig konkretionsgrad har nåtts om uppgifterna avser ett visst brott eller en viss brottskategori. En tillräcklig konkretionsgrad kan också nås genom att uppgifter sammanställs på ett sådant sätt att uppgifterna motsvarar de objektiva rekvisiten i en straffbestämmelse. Ett exempel på detta är den behandling som bedömdes i det s.k. TankStopp-målet där det var fråga om registrering av uppgifter om fordon som förekommit i samband med obetalda tankningar.

text: Om syftet med behandlingen helt eller delvis är att behandla brottsuppgifter, talar det för att det är fråga om uppgifter som omfattas av artikel 10 i dataskyddsförordningen. Det kan konstateras att ett sådant syfte inte föreligger vid användning av system i fordon som registrerar genomsnittshastigheten för en viss sträcka, om inte syftet är att hastighetsöverträdelser ska beräknas eller följas upp (jfr IMY:s beslut 2012-10-09 i dnr 1270-2012 och IMY:s beslut 2016-11-11 i dnr 1760-2016).

text: artikel 10

text: Detta rättsliga ställningstagande har beslutats av rättschefen David Törngren efter föredragning av juristen Olle Pettersson. Vid den slutliga handläggningen har även enhetscheferna Catharina Fernquist och Charlotte Waller Dahlberg, tf. enhetschefen Linn Sandmark och den internationella samordnaren och juristen Elisabeth Jilderyd medverkat.

text: David Törngren, 2021-12-08 (Det här är en elektronisk signatur)