Rättsligt ställningstagande om uppgifter om lagöverträdelser

Det finns ett stort behov av att klargöra hur dataskyddsförordningen ska tolkas i olika avseenden. Den omfattande vägledning som tas fram av Europeiska dataskyddsstyrelsen (EDPB) är här av central betydelse, särskilt som ett av huvudsyftena med förordningen är att harmonisera dataskyddsregelverket. EDPB består av företrädare för samtliga dataskyddsmyndigheter inom EU/EES, däribland IMY. Genom EDPB:s riktlinjer skapas en EU-gemensam vägledning som bidrar till en enhetlig tolkning och tillämpning av dataskyddsförordningen.

Det finns fortfarande många områden där EDPB ännu inte har gett vägledning. Ett sådant område är artikel 10 i dataskyddsförordningen som ger ett särskilt skydd för bland annat personuppgifter som rör lagöverträdelser som innefattar brott. IMY har därför tagit fram ett rättsligt ställningstagande som är styrande för myndighetens tolkning av artikel 10 och vägledande för bland annat verksamheter som tillämpar dataskyddsförordningen. Ställningstagandet gäller tills vidare och kan komma att ändras om det kommer ny vägledande domstolspraxis eller vägledning från EDPB.

I ställningstagandet går IMY igenom de rättskällor som finns på området, bland annat domar från EU-domstolen, svenska förarbeten och domstolspraxis enligt personuppgiftslagen. Personuppgiftslagen var det svenska genomförandet av det så kallade dataskyddsdirektivet som i maj 2018 ersattes av dataskyddsförordningen.

Fällande dom är inte en förutsättning

I ställningstagandet konstaterar vi att skyddet i artikel 10 inte förutsätter att det finns en fällande dom i ett brottmål. EU-domstolen har nämligen slagit fast att skyddet även omfattar information om ett rättsligt förfarande. Detta innebär att till exempel uppgifter om att en person är eller har varit föremål för en polisanmälan, en förundersökning, ett åtal eller rättegång i ett brottmål omfattas. Även uppgifter om friande domar i brottmål omfattas.

Rättsligt förfarande inte heller en förutsättning

IMY har i sitt ställningstagande gjort en bedömning av vad som gäller för misstankar om brott som inte lett till ett rättsligt förfarande. Det kan till exempel handla om uttalanden på sociala medier om att någon annan begått ett brott eller ett åkeris registrering av förarnas hastighetsöverträdelser. Här saknas praxis från EU-domstolen. Vårt ställningstagande innebär att svensk praxis enligt personuppgiftslagen fortfarande är relevant, vilket innebär att skyddet i artikel 10 gäller även om det inte inletts ett rättsligt förfarande.

Alla misstankar om brott omfattas inte

Alla uppgifter om misstankar om brott omfattas dock inte av artikel 10. Det krävs att uppgifterna har en viss konkretionsgrad, till exempel att uppgifterna avser ett visst brott eller en viss brottskategori. I ställningstagandet klargörs också att faktiska iakttagelser av eller passiv registrering av rena händelseförlopp normalt inte är att se som uppgifter om brott. Exempel på detta är när kamerabevakning i en livsmedelsbutik spelar in en stöld. Det är då normalt inte fråga om brottsuppgifter. Om den aktuella delen av inspelningen i efterhand avskiljs i syfte att polisanmäla brottet blir dock artikel 10 tillämplig.

Det rättsliga ställningstagandet har fått beteckningen IMYRS 2021:1 och du kan ta del av det via länken nedan. Vår målsättning är att vid behov ta fram fler rättsliga ställningstaganden av detta slag. Vi återkommer med andra ord med nya spännande rättsliga frågeställningar.

David Törngren, rättschef IMY