Innebörden av begreppet ”personuppgifter som rör lagöverträdelser som innefattar brott” i artikel 10 i dataskyddsförordningen

1 Sammanfattning

Information om ett rättsligt förfarande som inletts mot en fysisk person utgör personuppgifter som rör lagöverträdelser som innefattar brott i den mening som avses i artikel 10 i dataskyddsförordningen (brottsuppgifter). Detta innebär att t.ex. uppgifter om att en person är eller har varit föremål för en polisanmälan, en förundersökning, ett åtal eller rättegång i ett brottmål omfattas av skyddet i artikel 10. Även friande domar i brottmål omfattas av begreppet brottsuppgifter.

Uppgifter om att en fysisk person har eller kan ha begått ett visst brott (brottsmisstankar) kan utgöra brottsuppgifter, även om något rättsligt förfarande inte har inletts. För detta krävs normalt att uppgifterna har en viss konkretionsgrad. En tillräcklig konkretionsgrad har nåtts om uppgifterna avser ett visst brott eller en viss brottskategori. En tillräcklig konkretionsgrad kan också nås genom att uppgifter sammanställs på ett sådant sätt att uppgifterna motsvarar de objektiva rekvisiten i en straffbestämmelse. Om syftet med behandlingen helt eller delvis är att behandla brottsuppgifter, talar det för att det är fråga om brottsuppgifter.

När det gäller uppgifter om faktiska iakttagelser av eller passiv registrering av rena händelseförlopp där objektiva brottsrekvisit kan uppfyllas, som exempelvis filmning av möjliga lagöverträdelser vid kamerabevakning, är det normalt sett inte fråga om behandling av uppgifter enligt artikel 10. Således är det inte fråga om behandling av brottsuppgifter om det vid exempelvis kamerabevakning i en livsmedelsbutik fångas ett händelseförlopp som uppfyller de objektiva rekvisiteten för stöld. Om sekvensen med händelseförloppet i efterhand avskiljs i syfte att dokumentera, följa upp eller polisanmäla brottet är det dock fråga om behandling av brottsuppgifter.

2 Frågeställning

Av EU-domstolens praxis framgår att uppgifter om brottsmisstankar som är föremål för ett rättsligt förfarande omfattas av skyddet i artikel 10. Det finns ett behov att klargöra om uppgifter om att en fysisk person har eller kan ha begått ett visst brott kan utgöra brottsuppgifter, även om det inte finns något rättsligt förfarande gällande brottsmisstanken.

3 Gällande rätt m.m.

Lagtext m.m.

I artikel 10 i dataskyddsförordningen, med rubriken ”Behandling av personuppgifter som rör fällande domar i brottmål samt lagöverträdelser som innefattar brott”, anges följande:

”Behandling av personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott eller därmed sammanhängande säkerhetsåtgärder enligt artikel 6.1 får endast utföras under kontroll av en myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Ett fullständigt register över fällande domar i brottmål får endast föras under kontroll av en myndighet.”

I artikel 6.1 i Europarådets moderniserade konvention om dataskydd av den 17-18 maj 2018, med rubriken “Special categories of data” anges att “the processing of … personal data relating to offences, criminal proceedings and convictions, and related security measures … shall only be allowed where appropriate safeguards are enshrined in law, complementing those of this Convention.” I artikel 6.2 anges att “[s]uch safeguards shall guard against the risks that the processing of sensitive data may present for the interests, rights and fundamental freedoms of the data subject, notably a risk of discrimination.” I den ursprungliga konventionen från 1981 angavs i motsvarande bestämmelse ”[p]ersonal data revealing racial origin, political opinions or religious or other beliefs, as well as personal data concerning health or sexual life, may not be processed automatically unless domestic law provides appropriate safeguards. The same shall apply to personal data relating to criminal convictions.”

I lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) finns i 3 kap., med rubriken ”Behandling av vissa kategorier av personuppgifter”, två paragrafer under rubriken ”Personuppgifter som rör lagöverträdelser”, 8 och 9 §§.

Enligt 3 kap. 8 § får personuppgifter som avses i artikel 10 i dataskyddsförordningen behandlas av myndigheter. Även andra än myndigheter får behandla sådana personuppgifter, om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna följa föreskrifter om arkiv.

Enligt 9 § får regeringen eller den myndighet som regeringen bestämmer meddela ytterligare föreskrifter om i vilka fall andra än myndigheter får behandla sådana personuppgifter som avses i artikel 10 i dataskyddsförordningen. Den myndighet som regeringen bestämmer får i enskilda fall besluta att andra än myndigheter får behandla sådana uppgifter. Ett beslut får förenas med villkor.

I 5 § förordningen (2018:219) med kompletterande bestämmelser till EU:s dataskyddsförordning anges att personuppgifter som avses i artikel 10 i dataskyddsförordningen får behandlas av andra än myndigheter om behandlingen är nödvändig för att

1. rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras, eller 2. en rättslig förpliktelse enligt lag eller förordning ska kunna fullgöras.

I 6 § anges att Integritetsskyddsmyndigheten får meddela ytterligare föreskrifter om i vilka fall andra än myndigheter får behandla personuppgifter som avses i artikel 10 i dataskyddsförordningen. Integritetsskyddsmyndigheten får även i enskilda fall besluta att andra än myndigheter får behandla sådana personuppgifter.

I 2 § i IMY:s föreskrifter om behandling av personuppgifter som rör lagöverträdelser (DIFS 2018:2) finns ytterligare föreskrifter om i vilka fall andra än myndigheter får behandla personuppgifter som avses i artikel 10 i dataskyddsförordningen. Enligt samma bestämmelse får personuppgifter som avses i artikel 10 i dataskyddsförordningen behandlas av andra än myndigheter om

1. behandlingen är nödvändig för att fullgöra en föreskrift på socialtjänstområdet,

2. behandlingen avser uppgift i anteckningar som förs i fristående skolors elevvårdande verksamhet eller i motsvarande verksamhet hos enskilda anordnare av högskoleutbildning, 3. behandlingen är nödvändig för kontroll av att jävssituation inte föreligger i advokatverksamhet eller annan juridisk verksamhet, eller 4. uppgifterna avser personer i nyckelpositioner eller ledande ställning inom det egna bolaget eller koncernen och det är sakligt motiverat att behandla uppgifterna i särskilt inrättade rapporteringskanaler för att utreda om personen ifråga varit delaktig i allvarliga oegentligheter som rör bokföring, intern bokföringskontroll, revision, bekämpande av mutor, brottslighet inom bankoch finansväsen, eller andra allvarliga oegentligheter som rör organisationens vitala intressen eller enskildas liv och hälsa.

Enligt artikel 8.5 i det numera upphävda dataskyddsdirektivet (direktiv 95/46/EG) gällde följande. Behandling av uppgifter om lagöverträdelser, brottmålsdomar eller säkerhetsåtgärder fick utföras endast under kontroll av en myndighet eller – om lämpliga skyddsåtgärder finns i nationell lag – med förbehåll för de ändringar som medlemsstaterna kunde tillåta med stöd av nationella bestämmelser som innehöll lämpliga och specifika skyddsåtgärder. Ett fullständigt register över brottmålsdomar fick dock föras endast under kontroll av en myndighet.

I den numera upphävda personuppgiftslagen (1998:204) som implementerade dataskyddsdirektivet i svensk rätt föreskrevs att det var förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattade brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden (21 § första stycket). Enligt 21 § andra stycket fick sådana personuppgifter behandlas för forskningsändamål av andra än myndigheter, om behandlingen hade godkänts enligt lagen (2003:460) om etikprövning av forskning som avser människor. Av tredje stycket följde att regeringen eller den myndighet som regeringen bestämde fick meddela föreskrifter om undantag från förbudet i första stycket. Enligt fjärde stycket fick regeringen i enskilda fall besluta om undantag från förbudet i första stycket och överlåta åt tillsynsmyndigheten att fatta sådana beslut.

EU-domstolen

EU-domstolen har i målet GC m.fl. slagit fast att information om ett rättsligt förfarande som inletts mot en fysisk person, t.ex. uppgifter om förundersökning och brottmålsrättegång, utgör personuppgifter som rör lagöverträdelser som innefattar brott. Enligt domstolen gäller detta oberoende av om det brott som personen åtalats för faktiskt har styrkts eller inte under domstolsförfarandet (dom GC m.fl. C-136/17, EU:C:2019:773, punkt 72).

EU-domstolen har i målet Latvijas Republikas Saeima funnit att artikel 10 i dataskyddsförordningen är tillämplig på behandling av personuppgifter avseende prickning av förare vid överträdelser av trafikregler (dom Latvijas Republikas Saeima, C-439/19, EU:C:2021:504, punkt 94). Till grund för denna slutsats erinrade domstolen om att syftet med artikel 10 är att säkerställa ett utökat skydd mot sådan behandling som, på grund av att uppgifterna i fråga är särskilt känsliga, kan utgöra ett särskilt allvarligt ingrepp i den grundläggande rätten till respekt för privatlivet och skydd för personuppgifter enligt artiklarna 7 och 8 i EU:s rättighetsstadga (punkt 74). Eftersom de uppgifter som det hänvisas till i artikeln avser beteenden som samhället tar avstånd från, kan tillgång till sådana uppgifter stigmatisera den berörda personen och därmed utgöra ett allvarligt ingrepp i dennes privatliv eller yrkesliv (punkt 75). Omfattningen av begreppet avser uteslutande brott, inte administrativa sanktioner (punkt 77). Skyddet

omfattar således bara uppgifter på det straffrättsliga området (punkt 78). Att överträdelserna i den nationella lagstiftningen kvalificerats som förvaltningsrättsliga är dock inte avgörande för bedömningen (punkt 80). Begreppet ”brott” ska ges en självständig och enhetlig tolkning inom hela unionen, med beaktande av det mål som eftersträvas med denna bestämmelse och det sammanhang i vilket den förekommer (punkt 81-84). Avseende bedömningen av om den aktuella överträdelsen är av straffrättslig karaktär, följer av domstolens praxis tre relevanta kriterier, nämligen 1) den rättsliga kvalificeringen av överträdelsen i nationell rätt, 2) överträdelsens art och 3) strängheten i den sanktion som den berörde kan åläggas (punkt 86-88). När det gäller kriteriet överträdelsens art ska det beaktas om sanktionen bland annat har ett repressivt syfte. Att en sanktion även har ett förebyggande syfte betyder inte i sig att den inte kan kvalificeras som straffrättslig, men en åtgärd som bara kompenserar för den skada som vållats genom överträdelsen är inte av straffrättslig karaktär (punkt 89). När det gäller kriteriet strängheten i de sanktioner som överträdelserna kan leda till framhåller EU-domstolen först och främst att prickning endast sker för överträdelser av trafikreglerna av en viss allvarlighetsgrad och att sådana överträdelser kan leda till sanktioner av en viss stränghetsgrad. Vidare är prickning i allmänhet något som tillkommer utöver den sanktion som den som har brutit mot trafikreglerna påförs. Slutligen konstaterar domstolen att själva kumuleringen av prickar får rättsliga följder, exempelvis en skyldighet att avlägga en examen eller till och med ett körförbud (punkt 90). Att kvalificera sådana överträdelser som kan leda till prickning som ”brott” rimmar enligt domstolen väl med syftet med artikel 10, eftersom ett utlämnande till allmänheten av sådana uppgifter kan – med hänsyn till att sådana överträdelser försämrar vägsäkerheten – leda till avståndstagande från samhällets sida och medföra en stigmatisering av den berörda personen (punkt 92).

Europeiska dataskyddsstyrelsen (EDPB)

Europeiska dataskyddsstyrelsen (EDPB) har uttalat följande i Riktlinjer 01/2020 om uppkopplade fordon m.m., under rubriken ”2.1.3 Data revealing criminal offenses or other infractions”.

“68. Indeed, some categories of personal data from connected vehicles could reveal that a criminal offence or other infraction has been or is being committed (“offence-related data”) and therefore be subject to special restrictions (e.g., data indicating that the vehicle crossed a white line, the instantaneous speed of a vehicle combined with precise location data). Notably, in the event that such data would be processed by the competent national authorities for the purposes of criminal investigation and prosecution of criminal offence, the safeguards provided for in art. 10 GDPR would apply.”

Avgöranden från andra länder inom EU/EES

Oberlandesgericht (hovrätten) i Karlsruhe, Tyskland, har i ett mål som bland annat gällde om misstankar om ekonomiska oegentligheter skulle anses omfattas av artikel 10 i dataskyddsförordningen uttalat följande. Landgericht (tingsrätten) har med rätta antagit att artikel 10 inte är tillämplig på de aktuella omständigheterna. Senaten (hovrättsavdelningen) delar uttryckligen inte kärandens uppfattning att artikel 10 ska gälla för uppgifter som grundar misstanke om brott utan att leda till fällande dom. Det föreligger i fallet inga fällande domar i brottmål och överträdelser eller därmed sammanhängande säkerhetsåtgärder. De är heller inte uppgifter om lagöverträdelser

som innefattar brott enligt artikel 10. Syftet med artikel 10 är att tillgodose det särskilda behovet av skydd till följd av det officiella fastställandet av att någon har begått ett brott genom en viss handling. En alltför vid tolkning skulle göra bestämmelsen gränslös. Uppgifter om handlingar som grundar misstanke måste därför bedömas inom ramen för de allmänna bestämmelserna.

Conseil d'État (Högsta förvaltningsdomstolen) i Frankrike har i ett par avgöranden ansett att motsvarande begrepp enligt den nationella implementeringen av det numera upphävda dataskyddsdirektivet omfattar dels uppgifter som kvalificerats som brottsuppgifter av relevanta rättsliga myndigheter, dels uppgifter som bara troligen kan kvalificeras som brottsuppgifter, om de har samlats in i syfte att fastställa eller förhindra brott. I det s.k. Renault Trucks-målet, som gällde övervakning av anställdas användning av sina arbetsgivares datorer, fann domstolen att begreppet även omfattar uppgifter som samlas in enbart med syftet att fastställa eller förhindra brott, inklusive av tredje part. Behandlingen i fallet, vars enda syfte var att utreda och fastställa barnpornografibrott, omfattades således. I det s.k. PSG Football-målet, som gällde fotbollsklubbars svartlistning av supportrar, fann domstolen att de uppgifter som troligen skulle komma att behandlas var överträdelser av allmänna villkorsbestämmelser eller interna regler kring säkerhet vid sportevenemang, dvs. avtalsbrott. Det enda syftet med behandlingen var att säkerställa säkerheten vid sportevenemang, genom att möjliggöra för evenemangsorganisatörerna att neka tillträde till arenorna för personer som uppträtt farligt och därigenom brutit mot reglerna. Även om uppgifter om beteenden m.m. som därigenom behandlas kan inkludera handlingar som även utgör brott i straffrättslig bemärkelse, är syftet med behandlingen inte att fastställa eller förhindra sådana brott, och de utgör därför inte brottsuppgifter.

Svensk praxis

IMY har i beslut (2021-05-03 i dnr DI-2021-1856) funnit att uppgift om att en fysisk person har polisanmälts utgör brottsuppgifter, eftersom ett rättsligt förfarande därmed har inletts.

IMY har i beslut (2020-11-25 i dnr DI-2019-278) avslagit en begäran om tillstånd för att behandla uppgifter om lagöverträdelser genom kontroll mot icke-allmänt tillgängliga sanktionslistor för att uppfylla skyldigheter enligt "penningtvättslagen" avseende misstankar om penningtvätt och terrorismfinansiering. Med särskilt beaktande av den bristande insynen fann IMY att de registrerades rättigheter vägde tyngre vid en intresseavvägning och att det inte fanns någon annan rättslig grund. Beslutet är överklagat (Förvaltningsrättens i Stockholms mål nr 28259-20).

IMY har i beslut (2020-06-25 i dnr DI-2020-3321 m.fl.) ansett att det krävs tillstånd för att behandla uppgifter om lagöverträdelser för en gemensam spärrlista för Bank-ID för de utfärdande bankerna, där en av flera möjliga grunder för att sättas upp på listan är misstanke om brott. Detta eftersom möjligheten att sammankoppla olika uppgifter till en individ ska beaktas enligt skälen 26 och 30 i dataskyddsförordningen och EUdomstolens dom i målet Breyer (dom Breyer, C-582/14, EU:C:2016:779). Av det nämnda följer att möjligheten att sammankoppla en uppgift till en individ i princip ska vara utesluten i praktiken för att inte omfattas av begreppet personuppgift. Samma synsätt gäller för s.k. brottsuppgifter enligt artikel 10, då det annars skulle göra det

möjligt att kringgå den särskilda regleringen för behandling av sådana uppgifter. Det följer även av ordalydelsen av artikel 10, då artikeln ska tillämpas på ”behandling av personuppgifter som rör” s.k. brottsuppgifter. I ärendet konstaterade IMY att även om uppgifter om varför en spärr införts, t.ex. på grund av misstanke om brott, inte skulle behandlas i själva spärrlistan, behandlar den bank som fattat beslut om en sådan spärr underlaget till spärren i egenskap av personuppgiftsansvarig. De personuppgifter som kommer att behandlas avseende de individer som finns upptagna i spärrlistan baserat på personnummer, måste ses i ett sammanhang och inte separat. Det innebär att möjligheten att sammankoppla en uppgift (vilket i fallet skulle vara beslutsunderlag för en spärr på grund av avtalsbrott i form av misstanke om brottslig handling) till en individ (vilket i fallet skulle vara en spärr, baserad på personnummer) i princip ska vara utesluten i praktiken för att inte anses utgöra en brottsuppgift. Mot bakgrund av vad som framförts i ansökan kan möjligheten inte anses vara utesluten.

IMY har i beslut (2020-03-10 i dnr DI-2018-9274) ansett att uppgifter om ett åtal och en förundersökning avseende en viss person har utgjort uppgifter om lagöverträdelser som innefattar brott enligt artikel 10 i dataskyddsförordningen. Förvaltningsrätten i Stockholm har efter överklagande delat bedömningen i denna del (Förvaltningsrätten i Stockholms dom 2021-11-23 i mål nr 7565-20). Avgörandet är överklagat (Kammarrätten i Göteborgs mål nr 2232-21).

IMY har i beslut (2019-12-13 i dnr DI-2018-22737) ansett att en uppgift om att någon varit åtalad vid en domstol har utgjort en personuppgift om lagöverträdelser enligt artikel 10 i dataskyddsförordningen, även om det inte framgår vilket brott åtalet gällt. Beslutet har vunnit laga kraft efter överklagande till förvaltnings- och kammarrätten (Förvaltningsrätten i Stockholms dom 2020-06-17 i mål nr 1160-20 och Kammarrätten i Stockholms dom 2021-05-28 i mål nr 4738-20).

Göta hovrätt har i dom (2018-06-05 i mål nr B 3286-17) fastställt tingsrättens fällande dom för brott mot 49 § första stycket e i den numera upphävda personuppgiftslagen (med tillämpning av punkten 7 i övergångsbestämmelserna till dataskyddslagen). Den tilltalade hade på sin öppna sida på ett socialt medium gjort en publicering som ”pekat ut [målsäganden] med namn, bild och uppgift om bostadsadress samt med en tydlig beskrivning av det enligt [den tilltalades] uppfattning klandervärda i [målsägandens] agerande, som får anses utgöra en uppgift om lagöverträdelse”, vilket föranledde hovrätten att konstatera att ”[u]ppgifterna har således inte varit så allmänt hållna att [den tilltalades] agerande på den grunden skulle vara straffritt.” Texten i inlägget bestod av ”[t]ryggt när sådana människor är yrkestrafikanter!” och ”[h]är är killen som gjorde livet surt för ett gäng med cyklister i tisdags. (Räddningsman!, ja fy fan!)”. Att målsäganden vid tiden för inläggets publicering vare sig var misstänkt eller dömd för brott föranledde ingen annan bedömning. Vidare avfärdade hovrätten med hänvisning till NJA 2001 s. 409 den tilltalades invändning om att agerandet vara att bedöma som ett inlägg i samhällsdebatten i frågan om förhållandet mellan cyklister och bilister och att agerandet därmed var att bedöma som journalistik och på den grunden straffritt.

IMY har i ett antal beslut, varav vissa fastställts i domstol efter överklagande, klargjort vilka typer av uppgifter som utgjort brottsuppgifter enligt den till artikel 10 motsvarande bestämmelse i personuppgiftslagen, 21 §. I dessa beslut har följande uppgifter ansetts utgöra brottsuppgifter (listade efter senaste avgörandet i högsta instans):

1. Uppgifter som gör det möjligt att utläsa vilken genomsnittshastighet en förare har hållit under en viss körning av ett fordon och hur stor del av tiden gällande hastighetsbegränsning har överträtts samt med hur mycket, utan att det går att utläsa var eller när överträdelsen skett; annorlunda utgång i ett ärende med motsvarande uppgifter där uppgift om aktuell hastighetsbegränsning inte behandlas och därmed ingen slutsats dras om huruvida hastighetsbegränsningen har överträtts (IMY:s beslut 2013-11-18 i dnr 768- 2013 och 2016-11-11 i dnr 1760-2016), 2. Uppgifter om fordon som förekommit i samband med obetalda tankningar (IMY:s beslut 2011-05-11 i dnr 1563-2010 och 1564-2010, fastställt genom Högsta förvaltningsdomstolens dom 2016-02-16 i HFD 2016 ref. 8, det s.k. TankStopp-målet), 3. Uppgifter om IP-adresser i kombination med uppgift om att adressen använts dels vid försök till intrång eller genomförda intrång i internetbanker, dels i samband med intrångs- eller angreppsförsök eller tillgänglighets- och överbelastningsattacker mot en banks internetbank eller publika webbsidor (IMY:s beslut 2008-03-18 i dnr 1402-2007 2015-01-20 i dnr 905-2014), 4. Digitala bilder på skadegörelse i form av klotter med beteckningar på en enskild klottrare, s.k. tag, eller ett gäng klottrare, s.k. crew, om polisen kan härleda klottret till en viss person (IMY:s beslut 2005-08-30 i dnr 1020-2005, 2011-04-13 i dnr 352-2011 och 2012-10-09 i dnr 530-2012), 5. Uppgifter relaterade till att en person har fått tillträdesförbud av åklagare eller avstängts av en fotbollsklubb från att delta vid fotbollsevenemang (IMY:s beslut i 2011-05-30 i dnr 1841-2010), 6. Uppgift om IP-nummer tillsammans med påstående om att innehavaren av numret har begått upphovsrättsintrång i s.k. abuse-brev eller vid polisanmälan (IMY:s beslut 2005-06-08 i dnr 593-2005, fastställt genom Kammarrätten i Stockholms dom 2009-04-21 i mål nr 285-07, samt IMY:s beslut 2005-10-13 i dnr 1019-2005 och 2006-12-15 i dnr 1632-2006), 7. Uppgifter om personer som förekommer på USA:s lista över personer vars ekonomiska transaktioner ska blockeras eller frysas (s.k. sanktionslistor) (IMY:s beslut 2006-02-24 i dnr 1344-2005 och 2009-03-09 i dnr 152-2009), 8. Övervakningen av köp- & säljannonser på internet, som innebär en systematisk registrering och genomgång av annonstexter i syfte att upptäcka förekomst av bedrägerier eller andra brott (IMY:s beslut 2008-01-28 i dnr 886- 2007), 9. Systematisk övervakning av internetpokerspelares spelbeteende i syfte att upptäcka bedrägerier m.m. (IMY:s beslut 2007-09-21 i dnr 424-2007), 10. Uppgifter i en privat tjänst för elektronisk polisanmälan, som möjliggör angivelse av misstänkt förövare i kombination med angivelse av aktuellt brott (IMY:s beslut 2006-07-10 i dnr 706-2006, fastställt genom Länsrätten i Stockholms läns dom 2007-10-24 i mål nr 16617-06), 11. Systematisk registrering av personer som skräpar ned vi återvinningsstationer bestående av fotografier på personerna och uppgifter om iakttagelser om nedskräpningen (IMY:s beslut 2006-10-12 i dnr 750-2006, fastställt genom Länsrätten i Stockholms läns dom 2007-10-19 i mål nr 23910-06), 12. Uppgifter i en privat tjänst för elektronisk anmälan bestående av alias och epostadresser för personer i kombinationen med uppgift om misstanke om att vederbörande har begått sexualbrott, misshandel eller verbal kränkning (IMY:s beslut 2007-05-02 i dnr 1625-2006 och dnr 58-2007), 13. Digitala bilder på enskilda som gripits av ett räddnings- och säkerhetsföretag som misstänkta för skadegörelse (IMY:s beslut 2006-04-25 i dnr 366-2006),

14. Uppgift om att en hyresgäst har hotat en anställd hos en hyresvärd när hyresvärden genom att polisanmäla händelsen gjort gällande att det föreligger misstanke om brott (IMY:s beslut 2005-06-08 i dnr 81-2005), samt 15. Uppgifter om dels personer som har lämnat in gods till en pantbank som sedan beslagtagits av polismyndigheten som behandlas med ändamålet att förhindra att Pantbanken besöks av personer som bedriver kriminell verksamhet eller att Pantbanken medverkar till hantering av stulet gods, dels personer som uppträtt hotfullt mot personalen eller andra kunder hos pantbanken med följd att polis tillkallats eller åtal väckts (IMY:s beslut 2005- 04-27 i dnr 1917-2004).

Av avgörandena ovan är det endast det s.k. TankStopp-målet som prövats av Högsta förvaltningsdomstolen, där domstolen anförde i huvudsak följande avseende den aktuella behandlingen (HFD 2016 ref. 8).

”Den planerade behandlingen - inom systemet TankStopp - syftar till att lösa bensinstationsbranschens problem med smitning från bensinstationer utan att förskottsbetalning behöver göras obligatorisk för samtliga förare som vill betala i kassan. TankStopp ska hindra att fordon som tidigare har tankats utan att betalning har skett, på nytt ska kunna tankas utan krav på förskottsbetalning. Systemet ska fungera på så sätt att en särskild kamera vid bensinstationens infart automatiskt läser av registreringsnumret på ett fordon som körs in på stationen. Därefter jämförs numret automatiskt med registreringsnummer som tidigare har registrerats i säkerhetsföretagets centrala databas över fordon som tankats utan att betalning har erlagts. Om fordonet finns registrerat i databasen får personalen på den aktuella bensinstationen uppgift om detta och kan då kräva att tankningen förskottsbetalas i bensinstationens butik. Uppgifter avseende fordon som inte varit föremål för olovlig tankning raderas omedelbart. Det är bara fordon som använts vid en obetald tankning som registreras i den centrala databasen, vilket sker genom att bensinstationspersonal noterar bl.a. tidpunkt och obetalt belopp, liksom fordonets modell, färg, särskilda kännetecken och registreringsnummer. Säkerhetsföretaget skickar sedan, baserat på Transportstyrelsens fordonsregister, per brev en underrättelse till fordonsägaren om att fordonet förekommit vid en obetald tankning och därför registrerats i databasen. Fordonets ägare får på så sätt möjlighet att t.ex. bestrida att fordonet varit föremål för viss obetald tankning eller anmäla att det varit stulet. Hanteringen av den fordran som uppstått till följd av en obetald tankning sköts självständigt av bensinstationerna.

(---)

Som underinstanserna har funnit får registrering av uppgifter om fordon som förekommit i samband med obetalda tankningar anses innefatta en behandling av personuppgifter om lagöverträdelser som innefattar brott i den mening som avses i personuppgiftslagen. Det är enligt huvudregeln förbjudet för andra än myndigheter att behandla sådana uppgifter. De undantag som gäller enligt Datainspektionens föreskrifter medger inte den aktuella behandlingen. För att vara tillåten förutsätter den således ett särskilt beslut om undantag från förbudet.”

Svenska förarbeten

I förarbetena till dataskyddslagen (prop. 2017/18:105, s. 98 f.) anges följande.

”Frågan om i vilken utsträckning brottsmisstankar omfattas av begreppet lagöverträdelser som innefattar brott har varit föremål för diskussion.

Datalagskommittén menade att en uppgift om att någon har eller kan ha begått stöld otvivelaktigt utgör en uppgift om lagöverträdelse, även om det inte finns någon dom beträffande brottet. Uppgifter om faktiska iakttagelser om en persons handlande kunde dock enligt Datalagskommittén inte rimligen anses som uppgifter om lagöverträdelser i alla de fall handlandet kan innebära en lagöverträdelse (SOU 1997:39 s. 380). Högsta förvaltningsdomstolen har i det s.k. TankStopp-målet (HFD 2016 ref. 8) uttalat att registrering av uppgifter om fordon som förekommit i samband med obetalda tankningar ska anses innefatta en behandling av personuppgifter om lagöverträdelser som innefattar brott i den mening som avses i personuppgiftslagen. Utredningen har mot denna bakgrund, i avsaknad av klargörande EU-rättslig praxis, bedömt att misstankar om brott bör omfattas av artikel 10 i dataskyddsförordningen i samma utsträckning som de gör enligt personuppgiftslagen. Flera remissinstanser invänder mot denna bedömning och anser att den saknar stöd i dataskyddsförordningen. Svensk Handel konstaterar bl.a. att kamerabevakning skulle bli omöjlig och helt utan verkan för det fall det alltid skulle vara förbjudet för andra än myndigheter att behandla personuppgifter som innefattar misstanke om brott. Svensk Handel menar att det inte kan vara avsikten med vare sig dataskyddsförordningen, dataskyddslagen eller kamerabevakningslagen.

Ett av de huvudsakliga syftena med dataskyddsförordningen är att åstadkomma en ytterligare harmonisering av dataskyddsregleringen för att undanröja hindren för det fria flödet av personuppgifter inom EU (se t.ex. skäl 9 och 13). Det är därför angeläget att artikel 10 inte tolkas på ett mer extensivt sätt i Sverige än i andra medlemsstater. Som konstateras ovan har artikel 10 en annan utformning än motsvarande reglering i dataskyddsdirektivet och personuppgiftslagen. Det är därför, som bl.a. Svensk Handel är inne på, inte säkert att praxis enligt personuppgiftslagen kring vilka uppgifter som omfattas av regleringen om personuppgifter som rör lagöverträdelser fortfarande är aktuell. När det gäller kameraövervakning kan konstateras att Utredningen om kameraövervakning – Brottsbekämpning och integritetsskydd (Ju 2015:14) anser att artikel 10 måste tolkas så att den inte tar sikte på sådana möjliga lagöverträdelser som kan fångas på bild vid kameraövervakning (SOU 2017:55 s. 121). Regeringen instämmer i den bedömningen.”

I förarbetena till kamerabevakningslagen (prop. 2017/18:231 s. 105) anges följande.

”Mot bakgrund av vad Svenskt näringsliv framför om behovet av utvidgade möjligheter till kamerabevakning som avser misstankar om brott bör framhållas att regleringen i artikel 10 i dataskyddsförordningen om behandling av personuppgifter som rör lagöverträdelser, bör tolkas så att den inte tar sikte på sådana möjliga lagöverträdelser som kan fångas på bild vid kamerabevakning (se prop. 2017/18:105 s. 98). Den aktuella bestämmelsen utgör därför i regel ingen begränsning av möjligheterna för enskilda subjekt att bedriva kamerabevakning för brottsbekämpande ändamål.”

I utredningen som föregick dataskyddslagen (SOU 2017:39 s. 193) anges följande.

”Begreppet överträdelser bedömer vi som nämnts ovan som likvärdigt med direktivets begrepp lagöverträdelser, vilket i personuppgiftslagen tolkades som

lagöverträdelser som innefattar brott. Detta överensstämmer också med den engelska och franska versionen av förordningen. För att inte riskera en alltför vid tolkning av ordet överträdelser i svensk rätt bör därför begreppet lagöverträdelser som innefattar brott användas även fortsättningsvis. I vilken utsträckning misstankar om brott omfattas av begreppet överträdelser i förordningen framgår inte av artikeltext eller skäl. I avvaktan på klargörande EU-rättslig praxis bedömer vi att misstankar om brott bör omfattas i samma utsträckning som de gör enligt personuppgiftslagen.”

Regeringen har lagt fram ett förslag om ändringar i 1 kap. 13 § tryckfrihetsförordningen (TF) och 1 kap. 20 § yttrandefrihetsgrundlagen (YGL) som om det antas av riksdagen kommer innebära att grundlagsskyddet för söktjänster som offentliggör personuppgifter om lagöverträdelser begränsas (prop. 2021/22:59). Lagändringarna föreslås träda i kraft den 1 januari 2023. I propositionen uttalas bl.a. följande om begreppen fällande domar i brottmål och lagöverträdelser som innefattar brott (s. 47 f.).

”Som påpekar innefattar redan en uppgift om ett rättsligt förfarande i form av en förundersökning som har inletts mot en fysisk person en uppgift om en lagöverträdelse i den mening som uttrycket har i dataskyddsregleringen (EU-domstolens avgörande den 24 september 2019 i mål C-136/17, G.C. m.fl.). En uppgift om att någon har eller kan ha begått något visst brott utgör en personuppgift som rör en lagöverträdelse som innefattar brott. Detta gäller alltså även om det inte finns ett slutligt avgörande som slår fast ett ansvar för det misstänkta brottet. Uppgifter om att någon har dömts till en straffrättslig påföljd, såsom fängelse eller skyddstillsyn, bör också anses utgöra en personuppgift som rör lagöverträdelser som innefattar brott eller personuppgifter som rör en fällande dom i brottmål, oberoende av om det av uppgifterna framgår vilken lagöverträdelse som föranlett straffet eller inte (se Öman, Dataskyddsförordningen [GDPR] m.m., kommentaren till artikel 10, JUNO, version 1A). De föreslagna bestämmelserna omfattar alltså uppgifter som direkt eller indirekt kan härledas till fysiska personer och som rör handlanden som är straffbara.

Regeringen konstaterar mot den bakgrunden att uppgifter om t.ex. strafftid, placering och permission i normalfallet torde utgöra uppgifter om lagöverträdelser som innefattar brott. När det gäller frikännande domar i brottmål är saken mer komplex. Uppgifter som förekommer i en sådan dom och som avser åtalet och domstolens prövning av detta torde i stor utsträckning omfattas av uttrycket lagöverträdelser som innefattar brott. Det kan exempelvis vara så att en prövning som innebär att ett åtal ogillas i en del fall innefattar ett ställningstagande till att en brottslig gärning i och för sig har begåtts. Det kan t.ex. vara fallet om den frikännande domen meddelas på grund av åtalspreskription. Enligt regeringens uppfattning kan distinktionen mellan fällande och friande domar samtidigt antas få en förhållandevis liten betydelse i praktiken. Det beror främst på att redan en uppgift om en brottsmisstanke omfattas av bestämmelsens ordalydelse.

Till skillnad från bl.a. Juridikfronten anser regeringen att det under alla förhållanden inte finns skäl att utforma delegationsreglerna så att de uttryckligen generellt omfattar varje form av avgörande som innebär att en person slutligt frikänts från en brottsmisstanke. Det bör finnas ett utrymme för rättstillämparen att bl.a. i ljuset av utvecklingen av praxis på dataskyddsområdet närmare klargöra innebörden av uttrycket personuppgifter som rör lagöverträdelser som innefattar brott.

Åklagarmyndigheten och Svenska kyrkan ifrågasätter om inte även personuppgifter om brottsoffer bör omfattas av delegationsbestämmelserna. Regeringen konstaterar att det finns integritetshänsyn som talar för att offentliggöranden av personuppgifter som rör den som har utsatts för ett brott bör undantas från mediegrundlagarnas skydd. Det kan framstå som inkonsekvent att undanta personuppgifter avseende den som begått en lagöverträdelse men inte avseende brottsoffer, även om den stigmatisering som kan följa den som har begått en lagöverträdelse inte gör sig gällande på samma sätt för brottsoffer. Regeringen gör bedömningen att uppgifter om ett brottsoffer kan anses vara en uppgift som avser en lagöverträdelse som innefattar brott och därför bör omfattas av de föreslagna delegationsbestämmelserna.

Svenska kyrkan anser vidare att regleringen bör träffa även personuppgifter om vittnen i brottmål. Till skillnad från den som har begått en lagöverträdelse och brottsoffer har vittnen emellertid inte den direkta koppling till den brottsliga gärningen som medför att uppgiften blir integritetskänslig. Personuppgifter om vittnen i brottmål bedöms i normalfallet inte vara av sådan karaktär att de kan omfattas av undantagsbestämmelserna.”

I författningskommentaren till de föreslagna bestämmelserna (a. prop. s. 73 ) anges bl.a. följande. Bestämmelserna förutsätter inte att reglering i vanlig lag ska införas senare genom särskild lagstiftning utan medger tvärtom tillämpning av redan befintlig nationell eller EU-rättslig lagstiftning. I den mån befintliga regler om behandling av personuppgifter är tillämpliga på en viss behandling så gäller alltså dessa. För närvarande innebär det att EU:s dataskyddsförordning och kompletterande nationell lagstiftning blir tillämplig. Det framgår av paragrafens förarbeten att direkt tillämpliga EU-rättsakter jämställs med lag i paragrafens mening och att bestämmelsen även ger utrymme att föreskriva om åtgärder som är mindre ingripande än förbud (jfr prop. 2017/18:49 s. 188).

Vidare anges följande i författningskommentaren till de föreslagna bestämmelserna (a. prop. s. 78).

”[Bestämmelserna] möjliggör föreskrifter i lag om förbud mot offentliggörande av personuppgifter som rör fällande domar i brottmål eller lagöverträdelser som innefattar brott eller därmed sammanhängande beslut om häktning och andra straffprocessuella tvångsmedel. Det är uppgiftens karaktär som avgör om bestämmelsen är tillämplig. Frågan om varifrån uppgiften har inhämtats är i allmänhet inte av avgörande betydelse. Med uppgift om fällande domar i brottmål avses inte bara uppgifter som är direkt hänförliga till domen (dvs. uppgifter om att någon har fällts till ansvar och dömts till en straffrättslig påföljd såsom fängelse eller skyddstillsyn) utan även uppgifter om strafftid, placering och permission, som kan förekomma i beslut av Kriminalvården, omfattas av bestämmelsen.

En uppgift som rör en lagöverträdelse som innefattar brott kan vara exempelvis en uppgift om att någon har mottagit ett strafföreläggande, en åtalsunderlåtelse eller en straffvarning. Det kan också vara en uppgift om brottsmisstanke, t.ex. uppgift om att förundersökning har inletts. Även uppgifter som förekommer i en frikännande dom i ett brottmål kan omfattas av detta uttryck. Det kan exempelvis vara så att en prövning som innebär att ett åtal ogillas innefattar ett ställningstagande om att en brottslig gärning i och för sig har begåtts. Det kan t.ex. vara fallet om den frikännande domen meddelas p.g.a. åtalspreskription efter en

bedömning av brottets rubricering. Vidare kan även uppgifter om ett brottsoffer vara en uppgift som avser en lagöverträdelse som innefattar brott.”

Litteratur

I engelsk litteratur har det konstaterats att uppgifter om blotta misstankar om brottsliga gärningar (”criminal activity”) inte uttryckligen berörs i artikel 10 eller annars nämns i dataskyddsförordningen. Det anförs att det är oklart om sådana uppgifter omfattas, men att de potentiellt svåra konsekvenser som behandling av sådana uppgifter kan medföra för enskilda talar för att medlemsstaterna får utvidga begreppet ”lagöverträdelser som innefattar brott” till att innefatta även sådana uppgifter.

I den tyska litteraturen har misstankar om brott inte ansetts utgöra brottsuppgifter. Motiveringen är att syftet med artikel 10 är det särskilda behovet av skydd till följd av det officiella fastställandet av att någon har begått ett brott genom en viss handling och att en alltför vid tolkning skulle göra bestämmelsen gränslös. Brottsmisstankar måste därför bedömas inom ramen för de allmänna bestämmelserna (artikel 6).

I den svenska litteraturen har Sören Öman uttryckt motsatt uppfattning till den tyska. Öman anför att ”[e]n uppgift om att någon har eller kan ha begått något visst brott utgör en personuppgift som rör en lagöverträdelse som innefattar brott, även om det inte finns någon fällande brottmålsdom eller motsvarande beträffande brottet.” Öman anser därför att ”[p]åståenden om brott eller brottsmisstankar lär alltså vara uppgifter om lagöverträdelser som innefattar brott.” Enligt Öman ”krävs [det] förmodligen att uppgiften på ett eller annat sätt kvalificerats till att avse något visst brott eller åtminstone någon viss brottskategori, t.ex. sexualbrott”. Gällande uttalandena i de svenska förarbetena avseende eventuell fortsatt relevans av tidigare praxis mot bakgrund av den ändrade lydelsen i artikel 10 i dataskyddsförordningen jämfört med tidigare bestämmelser, för Öman fram att det i den svenska språkversionen av dataskyddsdirektivet och personuppgiftslagen angavs “uppgifter/personuppgifter om lagöverträdelser” (och “offences”, “Straftaten”, “infractions” i den engelska, tyska och franska), medan det i artikel 10 i dataskyddsförordningen, efter rättelse av den svenska språkversionen på svenskt initiativ, anges “personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott” (“criminal convictions and offences”, “strafrechtliche Verurteilungen und Straftaten”, “aux condamnations pénales et aux infractions” i den engelska, tyska och franska). Öman uttalar därvid att han ”har svårt att se att den ändrade lydelsen avseende lagöverträdelser kan ha betydelse för vilka påståenden om sådana överträdelser som omfattas av artikeln”.

4 Bedömning

Inledning

EU-domstolen har i målet Latvijas Republikas Saeimas slagit fast att ”lagöverträdelser som innefattar brott” och ”brott” är självständiga unionsrättsliga begrepp. De kan därmed inte ges en nationell tolkning vid tillämpning av dataskyddsförordningen.

Den rättsliga kvalificeringen av en överträdelse i nationell rätt är således inte avgörande för om den utgör ett brott i den mening som avses i artikel 10. Det måste

därför göras en bedömning i det enskilda fallet utifrån EU-domstolens uttalanden i domen för att avgöra om en överträdelse som nationellt kvalificerats som förvaltningsrättslig, t.ex. på skatte- eller miljöområdet, omfattas av artikel 10.

Rättsliga förfaranden

Av EU-domstolens dom i målet GC m.fl. följer att information om ett rättsligt förfarande som inletts mot en fysisk person utgör brottsuppgifter, oberoende av om det brott som personen åtalats för faktiskt har styrkts eller inte under domstolsförfarandet. EUdomstolen har således bedömt att uppgifter om att det inletts en förundersökning eller en rättegång i ett brottmål omfattas av skyddet i artikel 10. IMY har bedömt att detta gäller även en uppgift om att en fysisk person har polisanmälts, eftersom ett rättsligt förfarande därmed har inletts (IMY:s beslut 2021-05-03 i dnr DI-2021-1856). Enligt IMY:s bedömning följer av EU-domstolens dom i målet GC m.fl. att artikel 10 även omfattar uppgifter om att en fysisk person tidigare har varit föremål för ett rättsligt förfarande utan att det meddelats en fällande dom. Detta innebär att t.ex. uppgifter om en nedlagd förundersökning eller en friande dom i ett brottmål, omfattas av skyddet i artikel 10.

Genom EU-domstolens dom i målet GC m.fl. har således, i motsats till vad som hävdats i viss tysk doktrin och praxis, slagits fast att det inte krävs en fällande dom i ett brottmål eller motsvarande (t.ex. ett godkänt strafföreläggande) för att artikel 10 ska vara tillämplig. Det kan hävdas att detta följer redan av lydelsen i artikel 10, eftersom det annars inte hade varit nödvändigt att lägga till ”lagöverträdelser som innefattar brott” efter ”fällande domar i brottmål” (jfr ”criminal convictions and offences” i den engelska språkversionen).

Brottsmisstankar utan rättsligt förfarande

EU-domstolens praxis ger inte något svar på frågan om artikel 10 är tillämplig på uppgifter om misstankar om brott när det inte inletts något rättsligt förfarande. Det finns inte heller något tydligt svar på frågan i beslut eller vägledningar från EDPB.

I svensk praxis enligt personuppgiftslagen ansågs uppgifter om brottsmisstankar utgöra uppgifter om lagöverträdelser som innefattar brott, även om det inte inletts något rättsligt förfarande. I propositionen till dataskyddslagen (prop. 2017/18:105, s. 98 f.) uttalas att det inte är säkert att praxis enligt personuppgiftslagen kring vilka uppgifter som omfattas av regleringen om personuppgifter som rör lagöverträdelser fortfarande är aktuell. Detta eftersom artikel 10 i dataskyddsförordningen har en annan utformning än motsvarande reglering i dataskyddsdirektivet och personuppgiftslagen. Efter propositionen ändrades dock den svenska språkversionen av artikel 10 och den överensstämmer nu i den relevanta delen med motsvarande bestämmelse i personuppgiftslagen. Det skäl som angavs i propositionen till varför äldre praxis inte skulle vara relevant vid tolkningen av förordningen föreligger således inte längre.

Enligt IMY:s bedömning bör uttrycket personuppgifter som rör lagöverträdelser som innefattar brott i artikel 10 i dataskyddsförordningen – i avvaktan på praxis från EUdomstolen eller tydlig vägledning från EDPB – ges samma innebörd som motsvarande uttryck i personuppgiftslagen. Det innebär att uppgifter om brottsmisstankar kan omfattas av uttrycket, även om det inte inletts något rättsligt förfarande. En sådan tolkning ligger också i linje med EU-domstolens uttalanden i domen Latvijas Republikas Saeimas att syftet med bestämmelsen ska beaktas, nämligen att skydda den berörda personen från sådan behandling som riskerar leda till allvarliga ingrepp i

dennes privatliv eller yrkesliv, t.ex. om allmänhetens tillgång till uppgifterna leder till avståndstagande från samhällets sida och medför en stigmatisering av den berörda personen. Påståenden om brott och brottsmisstankar torde i många fall kunna leda till sådana konsekvenser, särskilt på grund av osäkerheten kring uppgifternas riktighet och att det kan vara svårt att få motsatsen bevisad.

Alla uppgifter som rör misstankar om brott omfattas dock inte av artikel 10. Enligt IMY:s bedömning krävs det att uppgifterna har en viss konkretionsgrad. En tillräcklig konkretionsgrad har nåtts om uppgifterna avser ett visst brott eller en viss brottskategori. En tillräcklig konkretionsgrad kan också nås genom att uppgifter sammanställs på ett sådant sätt att uppgifterna motsvarar de objektiva rekvisiten i en straffbestämmelse. Ett exempel på detta är den behandling som bedömdes i det s.k. TankStopp-målet där det var fråga om registrering av uppgifter om fordon som förekommit i samband med obetalda tankningar.

Om syftet med behandlingen helt eller delvis är att behandla brottsuppgifter, talar det för att det är fråga om uppgifter som omfattas av artikel 10 i dataskyddsförordningen. Det kan konstateras att ett sådant syfte inte föreligger vid användning av system i fordon som registrerar genomsnittshastigheten för en viss sträcka, om inte syftet är att hastighetsöverträdelser ska beräknas eller följas upp (jfr IMY:s beslut 2012-10-09 i dnr 1270-2012 och IMY:s beslut 2016-11-11 i dnr 1760-2016).

När det gäller uppgifter om faktiska iakttagelser av eller passiv registrering av rena händelseförlopp där objektiva brottsrekvisit kan uppfyllas, som exempelvis filmning av möjliga lagöverträdelser vid kamerabevakning, är det normalt sett inte fråga om behandling av uppgifter enligt artikel 10. Således är det inte fråga om behandling av brottsuppgifter om det vid exempelvis kamerabevakning i en livsmedelsbutik fångas ett händelseförlopp som uppfyller de objektiva rekvisiteten för stöld. Om sekvensen med händelseförloppet i efterhand avskiljs i syfte att dokumentera, följa upp eller polisanmäla brottet är det dock fråga om behandling av brottsuppgifter.

___________________________

Detta rättsliga ställningstagande har beslutats av rättschefen David Törngren efter föredragning av juristen Olle Pettersson. Vid den slutliga handläggningen har även enhetscheferna Catharina Fernquist och Charlotte Waller Dahlberg, tf. enhetschefen Linn Sandmark och den internationella samordnaren och juristen Elisabeth Jilderyd medverkat.

David Törngren, 2021-12-08 (Det här är en elektronisk signatur)