Anspråk mot staten med hänvisning till att behandling av personuppgifter har skett i strid med polisdatalagen

Justitiekanslerns beslut

Justitiekanslern tillerkänner BL ersättning med 5 000 kr och uppdrar åt Polismyndigheten att betala ut beloppet till honom.

Ärendet

Bakgrund

På begäran av BL kontrollerade Säkerhets- och integritetsskyddsnämnden (SIN) om Polismyndigheten eller Säkerhetspolisen hade be­handlat uppgifter om honom på ett sätt som stred mot lag eller annan författning.

Vid SIN:s kontroll framkom att BL hade varit föremål för Polismyndighetens personuppgiftsbehandling och att känsliga personuppgifter om BLs hälsa hade behandlats. Detta hade enligt SIN skett utan att det hade varit absolut nödvändigt för ändamålet med behandlingen. I en underrättelse den 15 juni 2015 konstaterade SIN att personuppgiftsbehandlingen hade skett i strid med polisdatalagen (2010:361) och att denna omständighet skulle kunna medföra skadeståndsansvar för staten. SIN gjorde därför en anmälan till Justitiekanslern, se 20 § andra stycket förordningen (2007:1141) med instruk­tion för Säkerhets- och integritetsskyddsnämnden.

Anspråket

Sedan BL beretts tillfälle att framställa ett anspråk mot staten har han genom sitt ombud yrkat ersättning med 15 000 kr.

Som BL får förstås avser anspråket ersättning för kränkning av den personliga integriteten som polisens felaktiga behandling av hans personupp­gifter har orsakat honom, jfr 2 kap. 2 § första stycket 12 polisdata­lagen och 48 § personuppgiftslagen (1998:204). BL har tillagt att polisens agerande även strider mot 2 kap. 6 § regeringsformen och artikel 8 i Europakonventionen.

Polismyndigheten har avstyrkt anspråket på den grunden att det har varit absolut nödvändigt för ändamålet med behandlingen att registrera de aktuella personuppgifterna.

Utredningen

BL och Polismyndigheten har yttrat sig i ärendet. De har även beretts tillfälle att komma in med synpunkter på varandras yttranden.  

Justitiekanslern har hos Polismyndigheten tagit del av den registrering som ärendet avser och då kunnat konstatera att de uppgifter som av SIN bedömts utgöra känsliga personuppgifter har gallrats ur Polismyndighetens register efter att SIN anmält saken till Justitiekanslern.

Rättsliga utgångspunkter

I 2 kap. 7 och 8 §§ polisdatalagen anges de ändamål för vilka personupp­gifter får behandlas i polisens brottsbekämpande verksamhet. De s.k.primära ändamålen i 2 kap. 7 § polisdatalagen är uttömmande och anger att det ska finnas ett behov av uppgifterna för att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller beivra brott eller fullgöra förpliktelser som följer av internationella åtaganden. Uppgifter som samlats in med stöd av de primära ändamålen får vidare behandlas för ett antal sekundära ändamål enligt 2 kap. 8 § polisdatalagen.

Uppgifter om en person får enligt 2 kap. 10 § första stycket polisdatalagen inte behandlas enbart på grund av vad som är känt om personens ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv (s.k. känsliga personuppgifter). Om uppgifter om en person behandlas på annan grund får de kompletteras med känsliga personuppgifter endast när det är absolut nödvändigt för syftet med behandlingen (se 2 kap. 10 § andra stycket polisdatalagen).

Personuppgiftsbehandling som sker i strid med bestämmelserna i 2 kap.10 § polisdatalagen kan enligt 2 kap. 2 § första stycket 12 polisdatalagen och 48 § personuppgiftslagen ge den registrerade rätt till ersättning för den skada och kränkning av den personliga integriteten som den fel­aktiga behandlingen har orsakat. Skadeståndsansvaret är i princip strikt. Det krävs alltså inte att den personuppgiftsansvarige eller någon annan har varit oaktsam eller haft uppsåt att handla i strid med lagen för att ersättning ska utgå.

Justitiekanslerns bedömning

Staten är skadeståndsskyldig gentemot BL

Det är utrett att Polismyndigheten har behandlat känsliga personuppgifter rörande BL:s hälsa. Uppgifterna, som ingår som en del av en registrering rörande andra förhållanden, har inte behandlats enbart på grund av vad som har varit känt om BL:s hälsa. Registreringen har därför inte skett i strid med 2 kap. 10 § första stycket polisdatalagen.

Vad gäller frågan om det har varit absolut nödvändigt för syftet med behandlingen att komplettera den aktuella registreringen med uppgifter om BL:s hälsa gör Justitiekanslern följande överväganden.

Av förarbetena till polisdatalagen framgår att begreppet ”absolut nödvändigt” ska tolkas restriktivt och att behovet av att registrera känsliga personuppgifter måste prövas noga i det enskilda fallet (se prop. 2009/10:85 s. 325).

De uppgifter om BL:s hälsa som Polismyndigheten har registrerat har visserligen inte varit omfattande. Uppgifterna har emellertid varit relativt konkreta och detaljerade. Justitiekanslern finner liksom SIN att det inte har varit absolut nödvändigt för polisen att registrera uppgifterna om BLs hälsa på den detaljnivå som har skett. Registreringen har därmed utformats på ett sätt som står i strid med 2 kap. 10 § andra stycket polisdatalagen. 

De personuppgifter som polisen behandlar med stöd av polisdatalagen är till sin natur av integritetskänslig karaktär. I detta fall har det dessutom rört sig om känsliga personuppgifter där det måste ställas extra höga krav på att polisen gör en noggrann behovsprövning innan uppgifterna registreras. Mot den bakgrunden, och med beaktande av vad som i övrigt har framkommit om personuppgiftsbehandlingen, måste BL anses ha blivit utsatt för en sådan kränkning av sin personliga integritet att han har rätt till ersättning av staten enligt 48 § personuppgiftslagen.

Ersättningens storlek 

Av motiven till personuppgiftslagen framgår att ersättning för kränkning får uppskattas efter skälighet mot bakgrund av samtliga omständigheter i det enskilda fallet. Därvid kan beaktas bl.a. sådana faktorer som om det har funnits risk för otillbörlig spridning av känsliga eller felaktiga uppgifter och om den registrerade på grund av den felaktiga behandlingen har blivit utsatt för något beslut eller några åtgärder som har kunnat innebära något negativt för honom eller henne (se prop. 1997/98:44 s. 143 f.). De angivna faktorerna är exempel på omständigheter som kan beaktas när man bestämmer ersättningens storlek.

Syftet med kränkningsersättning vid överträdelser av personuppgiftslagens eller, som i detta fall, polisdatalagens regler är att ersättningen ska ge upprättelse och kompensera för känslor av obehag hos den skadelidande. Ersättningen ska bestämmas utifrån en bedömning av vilken kränkning som typiskt sett får anses ha uppkommit. Högsta domstolen har fastslagit att ett sådant betraktelsesätt i stor utsträckning leder till bruk av schabloner, vilket bl.a. underlättar skaderegleringen till fördel för den skadelidande. Av Högsta domstolens avgörande framgår att ersättning för en kränkning som är att bedöma som mindre allvarlig, om än inte helt obetydlig, i normalfallet bör bestämmas till 3 000 kr (NJA 2013 s. 1046).

Med hänsyn till att det i detta fall har rört sig om känsliga personuppgifter, att uppgifterna varit tillgängliga för relativt många personer inom Polis­­myndigheten och att det av utredningen framgår att det tog ca fyra år från det att registreringen skedde till dess att uppgifterna gallrades ur registret kan kränkningen i detta fall inte anses som obetydlig eller mindre allvarlig.

Utredningen ger dock inte stöd för slutsatsen att BL har utsatts för några negativa beslut eller åtgärder på grund av den felaktiga personuppgiftsbehandlingen.

Vid en samlad bedömning av de omständigheter som har kommit fram om den aktuella personuppgiftsbehandlingen och med beaktande av dom­stolarnas och Justitiekanslerns praxis ska kränknings­ersättningen bestämmas till 5 000 kr. Polismyndigheten, som är personuppgiftsansvarig för den aktuella personuppgifts­behandlingen (se 2 kap. 4 § polisdatalagen), ska betala ut ersättningen.

BL har, som det får förstås, argumenterat för att ytterligare ersättning ska utgå med stöd av Europakonventionen och regeringsformen. De sakomständigheter som BL har åberopat till stöd för att han ska tillerkännas ersättning enligt Europakon­ventionen och regeringsformen har emellertid beaktats vid prövningen av anspråket enligt polisdatalagens och personuppgiftslagens bestämmelser. SIN:s kontroll och Justitiekanslerns skadereglering har också inneburit att BL haft tillgång till ett effektivt rättsmedel enligt artikel 13 i Europakonventionen. Det finns därför inte förutsättningar att betala ut någon ytterligare ersättning enligt de principer som Högsta domstolen har slagit fast om rätt till ersättning utan direkt stöd i lag vid överträdelser av Europakonventionen och, i undantagsfall, vid vissa särskilda överträdelser av regeringsformen (se bl.a. NJA 2003 s. 217, NJA 2005 s. 462, NJA 2007 s. 584, NJA 2014 s. 323 och NJA 2014 s. 332).

Avslutande synpunkter

Polisens personuppgiftsbehandling måste ske med största möjliga noggrannhet. Den innefattar inte sällan bedömningsfrågor. Alla anställda hos polisen som hanterar känsliga personuppgifter måste därför ha tillräckliga kunskaper om gällande rätt och förståelse för de skäl som ligger bakom utformningen av bestämmelserna. Jag utgår från att Polismyndigheten prioriterar frågan och vidtar de informations- och utbildningsinsatser som krävs för att alla anställda som registrerar personuppgifter ska ha de kunskaper som krävs för uppgiften.

Jag ser positivt på att Polismyndigheten gallrade de känsliga personuppgifterna i anslutning till att ärendet anmäldes hit av SIN.