Anspråk på skadestånd av staten med anledning av att personuppgifter sänts i ett kuvert som inte varit förslutet

Justitiekanslerns beslut

Justitiekanslern avslår AS:s skadeståndsanspråk.

Ärendet

Genom ett meddelande daterat den 31 januari 2002 bekräftade Premiepensionsmyndigheten (PPM) att AS:s premiepensionsmedel hade placerats på ett visst sätt. Det kuvert som meddelandet sändes i hade inte förslutits.

AS har begärt skadestånd av staten med 1 000 kr eller det belopp som Justitiekanslern anser skäligt. Beloppet avser ersättning för det obehag som han känt till följd av att någon kunnat läsa innehållet i brevet. Han har vidare förbehållit sig rätten att längre fram återkomma med ytterligare skadeståndskrav med anledning av det inträffade. Han har till stöd för anspråket vidare framhållit att det tagit åtta bankdagar för meddelandet att nå honom.

PPM har överlämnat anspråket hit för handläggning. Myndigheten har därvid avgett ett yttrande som i huvudsak innehåller följande.

"PPM beklagar att brevet till AS skickats utan att ha varit förslutet. Vidare beklagar myndigheten att det tagit lång tid för brevet att nå fram. PPM har svarat AS att de brev som skickats från PPM vid den aktuella tidpunkten blivit försenade på grund av en omfattande datakörning.

I fråga om de uppgifter som fanns i bekräftelsebrevet gäller sekretess enligt 7 kap 7 § och 9 kap 25 § sekretesslagen. Skada och kränkning av den personliga integriteten som uppkommer till följd av brister i den tekniska säkerheten kan enligt 48 § personuppgiftslagen (1998:204) leda till skadestånd. Enligt 31 § personuppgiftslagen skall myndigheten vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Härvid skall beaktas bland annat tekniska möjligheter, kostnader för genomförande och hur pass känsliga de aktuella uppgifterna är.

I samband med att en pensionssparare byter fonder skickar PPM ett bekräftelsebrev. Bekräftelsen innehåller namn, adress, personnummer, kontonummer hos PPM, uppgift om kontosaldo, vald fördelning av fonder och fondkurser.

De brev som PPM skickar till pensionssparare skall befordras i förslutna kuvert. Kuverteringen är helt automatiserad och sköts av ett externt företag, Parajett. Enligt uppgift från Parajett kan det aldrig helt uteslutas att ett kuvert inte försluts ordentligt eller inte alls.

PPM gör mot bakgrund av vilka uppgifter som finns i ett bekräftelsebrev den bedömningen att den tekniska lösning som valts innebär ett tillräckligt skydd för uppgifterna. För att försäkra sig om att inga brev skickas ut utan att vara helt förslutna skulle PPM behöva göra manuella kontroller av utgående brev i en sådan omfattning som inte kan motiveras med hänsyn till kostnaderna och arten av de uppgifter som skall skyddas.

Enligt PPM:s uppfattning har inte något obehörigt utlämnande av uppgifter skett. Det har visserligen förelegat viss risk för att någon obehörigen tagit del av uppgifterna i bekräftelsebrevet. Enligt PPM:s bedömning är detta dock inte tillräckligt för att grunda skadeståndsskyldighet för PPM."

AS har beretts tillfälle att komma in med ytterligare synpunkter.

Justitiekanslerns bedömning

Av 48 § personuppgiftslagen framgår att den personuppgiftsansvarige skall ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med lagen har orsakat.

AS har inte hävdat att han drabbats av någon ekonomisk skada till följd av det inträffade. AS:s anspråk avser endast ersättning för den kränkning av hans personliga integritet som han menar har uppkommit på grund av att meddelandet sänts i ett öppet kuvert.

Det kan inte uteslutas att det sätt på vilket meddelandet kommit att sändas inneburit att personuppgiftslagens regler åsidosatts. Oavsett hur man ser på den saken måste emellertid den kränkning som ett sådant åsidosättande kan ha medfört för AS anses så begränsad att någon rätt till kränkningsersättning enligt 48 § personuppgiftslagen inte föreligger. Jag beaktar därvid bl.a. att det inte varit fråga om personuppgifter av särskilt känslig art samt att det endast funnits en begränsad risk för spridning av uppgifterna.

Med hänvisning till det anförda avslår jag AS:s ersättningsanspråk.