Referat

Bakgrund

1. Verifiera AB tillhandahåller en databas där det ingår domstolsavgöranden om psykiatrisk tvångsvård och om vård av missbrukare. Bolaget har utgivningsbevis och verksamheten faller därmed som utgångspunkt inom yttrandefrihetsgrundlagens område.

2. Av en undantagsbestämmelse i yttrandefrihetsgrundlagen framgår att bestämmelserna i grundlagen inte hindrar att det i lag meddelas föreskrifter om förbud mot offentliggörande av uppgifter om bl.a. hälsa.

3. Enligt EU:s dataskyddsförordning gäller att behandling av personuppgifter om hälsa i princip är förbjuden.

4. Integritetsskyddsmyndigheten beslutade att meddela Verifiera en reprimand och förelade bolaget att vidta vissa åtgärder så att de tjänster som tillhandahålls i databasen inte längre skulle stå i strid med EU:s dataskyddsförordning. Myndigheten menade att yttran­de­frihets­grundlagens undantagsbestämmelse innebär att data­skydds­förordningen är tillämplig på databasen. Verifieras till­han­dahållande av domstolsavgöranden om psykiatrisk tvångsvård och om vård av missbrukare bedömdes utgöra en behandling av person­uppgifter om hälsa som strider mot förordningen.

5. Förvaltningsrätten i Stockholm och Kammarrätten i Stock­holm instämde i allt väsentligt i Integritetsskyddsmyndighet­ens bedömning och avslog Verifieras överklaganden.

Yrkanden m.m.

6. Verifiera AB yrkar att Högsta förvaltningsdomstolen ska ändra kammarrättens dom och upphäva Integritetsskyddsmyndighetens beslut samt anför att undantagsbestämmelsen i yttrandefrihets­grundlagen inte medger delegation genom annan föreskrift än sådan som har meddelats av riksdagen.

7. Integritetsskyddsmyndigheten anser att överklagandet ska avslås.

Skälen för avgörandet

Frågan i målet

8. Prövningstillstånd i Högsta förvaltningsdomstolen får enligt 
36 a § förvaltningsprocesslagen (1971:291) begränsas till att gälla en viss fråga i målet, vars prövning är av vikt för ledning av rättstillämpningen (prejudikatfråga).

9. Högsta förvaltningsdomstolen har meddelat prövningstillstånd såvitt avser frågan om EU:s dataskyddsförordning är en sådan lag med förbud mot offentliggörande av personuppgifter som avses i 
1 kap. 20 § yttrandefrihetsgrundlagen.

10. Frågan om meddelande av prövningstillstånd rörande målet i övrigt har förklarats vilande.

Rättslig reglering m.m.

11. Enligt 1 kap. 3 § första stycket yttrandefrihetsgrundlagen är grundlagen tillämplig på sändningar av program som är riktade till allmänheten och avsedda att tas emot med tekniska hjälpmedel.

12. Av 4 § första stycket framgår att grundlagens föreskrifter om sändningar av program tillämpas också när information ur en databas, vars innehåll kan ändras endast av den som driver verksamheten, tillhandahålls allmänheten med hjälp av elektro­magnetiska vågor bl.a. av någon som har utgivningsbevis för verksamheten enligt 5 §.

13. I 14 § anges att en myndighet eller ett annat allmänt organ inte utan stöd i grundlagen får ingripa mot någon för att han eller hon i ett program eller en teknisk upptagning har missbrukat yttrandefriheten eller medverkat till ett sådant missbruk.

14. I 20 § första stycket anges att bestämmelserna i grundlagen inte hindrar att det i lag meddelas föreskrifter om förbud mot offentliggörande av personuppgifter om bl.a. hälsa. Enligt andra stycket gäller undantaget i första stycket endast om personuppgifterna ingår i en uppgiftssamling som har ordnats så att det är möjligt att söka efter eller sammanställa dessa och det med hänsyn till verksamheten och de former under vilka uppgifts­samlingen hålls tillgänglig finns särskilda risker för otillbörliga intrång i enskildas personliga integritet.

15. Enligt artikel 9.1 i förordningen (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), EU:s data­skydds­förordning, gäller att behandling av personuppgifter om hälsa som utgångspunkt är förbjuden.

Högsta förvaltningsdomstolens bedömning

16. Undantagsbestämmelsen i 1 kap. 20 § första stycket yttrande­frihetsgrundlagen infördes 2019 för att stärka skyddet av den personliga integriteten i svensk rätt (prop. 2017/18:49 s. 145).

17. Av förarbetena till bestämmelsen framgår dels att avsikten är att också EU-förordningar ska omfattas och därför kunna utgöra sådan reglering som undantas från grundlagens tillämpnings­område, dels att den valda ordalydelsen bedömts vara tillräckligt tydlig i detta avseende (prop. 2017/18:49 s. 147 f.). Därutöver sägs uttryckligen att bestämmelsen innebär att EU:s dataskydds­förordning kommer att gälla (a. prop. s. 177).

18. Vidare kan det noteras att begreppet ”lag” även i andra lagstiftningsärenden har ansetts kunna syfta på en EU-förordning (se t.ex. prop. 1999/00:126 s. 135 f. och 272, prop. 2021/22:59 s. 40 samt prop. 2022/23:58 s. 17 och 104).

19. Mot denna bakgrund ska den prejudikatfråga som Högsta förvaltningsdomstolen har meddelat prövningstillstånd i besvaras så, att EU:s dataskyddsförordning är en sådan lag med förbud mot offentliggörande av personuppgifter som avses i 1 kap. 20 § yttrandefrihetsgrundlagen.

20. Högsta förvaltningsdomstolen finner inte skäl att meddela prövningstillstånd i målet i övrigt.

Högsta förvaltningsdomstolens avgörande

Högsta förvaltningsdomstolen förklarar att EU:s dataskydds­förordning är en sådan lag med förbud mot offentliggörande av personuppgifter som avses i 1 kap. 20 § yttrandefrihetsgrundlagen.

Högsta förvaltningsdomstolen meddelar inte prövningstillstånd i målet i övrigt. Kammarrättens avgörande står därför fast.

I avgörandet deltog justitieråden Jermsten, Bull, Classon, och Jönsson. Föredragande var justitiesekreteraren Max Uhmeier.

______________________________

[Förvaltningsrättens och kammarrättens domar återges endast i de delar som berör frågan om EU:s dataskyddsförordning är en sådan lag med förbud mot offentliggörande av personuppgifter som avses i 1 kap. 20 § yttrandefrihetsgrundlagen.]

Förvaltningsrätten i Stockholm (2023-02-02, ordförande Mossfeldt):

Utgångspunkter för bedömningen

Verifiera AB bedriver verksamhet som bl.a. består i tillhandahållande av en tjänst som gör det möjligt för användare av tjänsten att söka på personnamn, personnummer eller adress och få ta del av avgöranden av förvaltningsdomstol i mål enligt lagen om psykiatrisk tvångsvård eller lagen om vård av missbrukare i vissa fall som gäller den eftersökta personen. Frågan i målet är om Integritetsskyddsmyndigheten har haft fog för att ingripa mot Verifiera AB på grund av att bolaget, genom tillhandahållande av den tjänsten, har begått överträdelser av artikel 9 i dataskyddsförordningen.

För att avgöra om så är fallet ska förvaltningsrätten inledningsvis ta ställning till om den omständigheten att Verifiera AB har utgivningsbevis innebär att bolaget inte omfattas av artikel 9 i dataskyddsförordningen, eller om bestämmelsen tvärtom utgör sådan lag som kan tillämpas med stöd av delegationsbestämmelsen i 1 kap. 20 § yttrandefrihetsgrundlagen.

Kan artikel 9 i dataskyddsförordningen tillämpas?

Förvaltningsrättens bedömning

Det är ostridigt att Verifiera AB har ett utgivningsbevis enligt yttrandefrihetsgrundlagen. Bolagets verksamhet omfattas därmed av ett grundlagsskydd, se 1 kap. 4 § yttrandefrihetsgrundlagen. Det medför att personuppgiftsreglerna i dataskyddsförordningen och i lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, dataskyddslagen, inte är tillämpliga i den utsträckning det skulle strida mot tryckfrihets­förordningen eller yttrandefrihetsgrundlagen. Det följer av 1 kap. 7 § dataskyddslagen.

Sedan den 1 januari 2019 finns dock i 1 kap. 20 § yttrandefrihets­grundlagen en undantagsbestämmelse enligt vilken bestämmelserna i den grundlagen inte hindrar att det i lag meddelas föreskrifter om förbud av offentliggörande av vissa s.k. känsliga personuppgifter, bl.a. uppgifter om hälsa. Frågan som förvaltningsrätten inledningsvis har att ta ställning till är om dataskyddsförordningens bestämmelser kan utgöra sådana föreskrifter om förbud som avses i 1 kap. 20 yttrandefrihetsgrundlagen.

Det framgår inte av ordalydelsen i 1 kap. 20 § yttrandefrihetsgrundlagen huruvida bestämmelsen enbart tar sikte på lagstiftning som tillkommit efter det att bestämmelsen infördes i yttrandefrihetsgrundlagen, eller om den tvärtom kan avse både redan existerande och senare tillkommen lagstiftning. Kammarrätten i Stockholm har dock uttalat att bestämmelsen omfattar även redan befintlig nationell eller EU-rättslig lagstiftning. Det innebär, enligt kammarrättens dom, att i de fall bestämmelsen är tillämplig gäller personuppgiftsregleringen i bl.a. dataskyddsförordningen för behandling av vissa s.k. känsliga personuppgifter (se Kammarrätten i Stockholms dom den 12 februari 2021 i mål nr 8142-20).

Att undantagsbestämmelsen i 1 kap. 20 § yttrandefrihetsgrundlagen omfattar även redan befintlig lagstiftning får enligt förvaltningsrätten stöd även av förarbetena till bestämmelsen. I förarbetena anges nämligen att syftet med bestämmelsen är att medge reglering i och tillämpning av lag om förbud mot offentliggörande av vissa personuppgifter (prop. 2017/18:49 s. 147 och 154). Enligt förvaltningsrätten talar detta för att avsikten vid införandet av bestämmelsen var att den inte bara skulle ge lagstiftaren möjlighet att framöver lagstifta mot integritetskänsliga uppgiftssamlingar, utan även att medge tillämpning av redan existerande sådan lagstiftning. Vidare framgår av samma förarbeten att uttrycket lag även omfattar direkt tillämplig EU-rättsakt (prop. 2017/18:49 s. 154).

Förvaltningsrätten anser mot den bakgrunden att dataskydds­förordning­ens bestämmelser kan utgöra sådana föreskrifter om förbud som avses i 1 kap. 20 yttrandefrihetsgrundlagen, utan hinder av att de redan existerade när bestämmelsen infördes i yttrandefrihetsgrundlagen. Den omständig­heten att Verifiera AB har utgivningsbevis utgör därför inget hinder mot att tillämpa dataskyddsförordningens förbud mot offentliggörande av vissa uppgifter, förutsatt att det är fråga om sådana uppgifter som anges i 1 kap. 20 § yttrandefrihetsgrundlagen och att övriga förutsättningar för tillämpning av bestämmelsen är uppfyllda.

Är undantaget för behandling för journalistiska ändamål tillämpligt?

[text här utelämnad]

Har Verifiera AB behandlat personuppgifter i strid med artikel 9? 

[text här utelämnad]

Har Integritetsskyddsmyndigheten haft fog för att ingripa mot Verifiera AB?

[text här utelämnad]

Sammanfattning

Förvaltningsrätten bedömer sammanfattningsvis att Verifiera AB har behandlat personuppgifter i strid med artikel 9 i dataskyddsförordningen. Den omständigheten att bolaget har utgivningsbevis utgör inget hinder mot att bestämmelsen tillämpas. På grund av bolagets överträdelser har Integritetsskyddsmyndigheten haft fog att ingripa mot bolaget. Ingripandet är enligt förvaltningsrätten proportionerligt.

Överklagandet ska mot den bakgrunden avslås. 

–  Förvaltningsrätten avslår överklagandet.

Kammarrätten i Stockholm (2023-06-22, Liljeqvist, Axelsson och Johansson):

Utgångspunkter för prövningen

Verifiera har ett så kallat utgivningsbevis och webbplatsen omfattas som utgångspunkt av grundlagsskydd. I målet aktualiseras relationen mellan EU:s dataskyddsförordning 2016/679 (dataskyddsförordningen) och yttrandefrihetsgrundlagen, framför allt frågan om artikel 9 i dataskyddsförordningen kan utgöra en sådan föreskrift om förbud mot offentliggörande av personuppgifter om hälsa som avses i 1 kap. 20 § yttrandefrihetsgrundlagen. Det saknas vägledande avgöranden om tillämp­ningen av denna delegationsbestämmelse.

Kan artikel 9 i dataskyddsförordningen tillämpas?

Enligt kammarrätten medger ordalydelsen av 1 kap. 20 § yttrandefrihets­grundlagen såväl att befintlig lag tillämpas som att ny lag beslutas om förbud mot offentliggörande av personuppgifter. Detta får även stöd i förarbetena till bestämmelsen (prop. 2017/18:49 s. 147). Dataskydds­förordningen är direkt tillämplig som lag i Sverige och artikel 9 om förbud mot behandling av personuppgifter om bl.a. hälsa kan därmed tillämpas för sådan behandling som verksamheter med utgivningsbevis utför (jfr 1 kap. 7 § första stycket lagen [2018:218] med kompletterande bestämmel­ser till dataskyddsförordningen).

Fråga om journalistiskt ändamål och överträdelse

[text här utelämnad]

Fråga om föreläggande och reprimand

[text här utelämnad]

– Kammarrätten avslår överklagandet.