DOM Meddelad i Stockholm

Transkript

1 KAMMARRÄTTEN Avdelning Meddelad i Stockholm Mål nr , , , , , , , , , , , och KLAGANDE 1. GE Healthcare Bio-Sciences AB, GE Healthcare Europe GmbH Tyskland Filial Sverige, GEMS PET Systems AB, GE Healthcare AB, GE Real Estate (Sweden) AB, GE Capital AB, GE Lighting AB, Dresser Wayne AB, International General Electric AB, GE Structured Finance AB, Breas Medical AB, Uppsala Imanet AB, GE Healthcare Sverige AB, Ombud: Advokat Johan Sundberg och jur.kand. Johan Thörn Advokatfirma DLA Nordic KB Box Stockholm MOTPART Datainspektionen Box Stockholm ÖVERKLAGAT AVGÖRANDE Förvaltningsrätten i Stockholms dom den 18 mars 2015 i mål nr , , , , , , , , , , , och , se bilaga A SAKEN Tillämpning av personuppgiftslagen KAMMARRÄTTENS AVGÖRANDE Kammarrätten avslår överklagandena. Dok.Id Postadress Besöksadress Telefon Telefax Expeditionstid Box 2302 Birger Jarls Torg måndag fredag Stockholm E-post: kammarrattenistockholm@dom.se 08:00-16:00

2 KAMMARRÄTTEN Avdelning 01 Mål nr m.fl. 2 BAKGRUND Tretton svenska dotterbolag inom koncernen General Electric Company Inc. (Bolagen) ansökte hos Datainspektionen om undantag från förbudet i 21 första stycket personuppgiftslagen (1998:204), PUL, för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott. Undantagen begärdes för att Bolagen skulle kunna registrera och kontrollera olika kategorier av personer som Bolagen har samröre med bl.a. kunder, potentiella kunder, leverantörer, samarbetspartners, arbetssökande, arbetstagare, uppdragstagare, ställföreträdare och ägare mot fyra olika sanktionslistor. Sanktionslistorna, OFAC SDN-listan, BIS Denied-Persons-listan, BIS Entity-listan och ISN icke-spridningssanktionslistan, är upprättade av amerikanska myndigheter. Sanktionerna enligt SDN-listan innebär att transaktioner med personer som finns på listorna och deras tillgångar ska blockeras eller frysas. BIS Denied- Persons-listan omfattar personer och företag som har nekats exporträttigheter av de amerikanska myndigheterna på grund av brott mot amerikanska exportkontrollagar medan BIS Entity-listan upptar personer och företag som kommit till amerikanska statens kännedom på grund av inblandning i vapenspridningsverksamhet. ISN icke-spridningssanktionslistan är upprättad för att administrera restriktioner mot transaktioner med individer, juridiska personer och stater som enligt amerikanska myndigheter ägnar sig åt spridning av massförstörelsevapen. Restriktionerna innebär att samtliga transaktioner mellan en person som finns upptagen på listan och amerikanska rättssubjekt är förbjudna. En närmare beskrivning av listorna finns i förvaltningsrättens dom. Datainspektionen avslog Bolagens ansökningar, med undantag för bolaget GE Capital AB, som enligt inspektionens beslut i viss mån får behandla sådana personuppgifter genom kontroller av kunder och den verklige huvudmannen för dessa mot den s.k. SDN-listan.

3 KAMMARRÄTTEN Avdelning 01 Mål nr m.fl. 3 Förvaltningsrätten avslog Bolagens överklagande av Datainspektionens beslut. YRKANDEN M.M. Bolagen yrkar att kammarrätten ska upphäva förvaltningsrättens dom och i enlighet med 9 personuppgiftsförordningen (1991:1191) medge undantag från förbudet i 21 PUL att utföra kontroller av de olika kategorierna av personer mot de av olika amerikanska myndigheter utfärdade sanktionslistorna. Bolagen vidhåller det som anförts tidigare och tillägger huvudsakligen följande. Det är av betydande vikt att det klargörs under vilka omständigheter som undantag från förbudet i 21 PUL kan medges i fall där det finns en uppenbar lagkonflikt mellan utländska legitima rättsliga skyldigheter och svenska dataskyddsregler, särskilt då de utländska rättsliga skyldigheterna har samma eller liknande omfattning och syfte som motsvarande rättsliga skyldigheter som svenska bolag ålagts av EU och FN. Bolagens intresse av att utföra kontrollerna gentemot sanktionslistorna överväger klart integritetsintresset hos samtliga registrerade som skulle vara föremål för kontrollerna gentemot listorna. Vid en bedömning av om det finns skäl att medge undantag från förbudet i 21 PUL ska en intresseavvägning med en överviktsprincip tillämpas. Förvaltningsrätten har gjort en felaktig avvägning mellan å ena sidan Bolagens berättigade intresse att följa tillämpliga amerikanska regler som, i likhet med regler som införts av FN och EU, syftar till att förhindra finansiering av terrorism och spridning av massförstörelsevapen och å andra sidan integritetsintresset hos de personer som skulle vara föremål för kontrollerna.

4 KAMMARRÄTTEN Avdelning 01 Mål nr m.fl. 4 Det är klart att samkörning av personuppgifter i sig utgör en behandling av personuppgifter enligt 3 PUL, som dels måste uppfylla de grundläggande kraven enligt PUL, dels måste ha en laglig grund i 10 PUL. För det fall personuppgifter om lagöverträdelser som innefattar brott m.m. behandlas aktualiseras även förbudet i 21 PUL. Bolagen delar inte underinstansernas uppfattning att integritetsintresset hos samtliga anställda, kunder och leverantörer som är föremål för kontroller gentemot listorna ska beaktas inom ramen för intresseavvägningen enligt 21 PUL. Inga personuppgifter om lagöverträdelser som rör brott behandlas avseende dessa personer. För det fall integritetsintresset hos samtliga registrerade ska beaktas vid intresseavvägningen är det potentiella intrång som kontrollerna skulle innebära för de registrerade mycket begränsat, särskilt med beaktande av de skyddsåtgärder och robusta interna kontroller som kommer att finnas på plats. Bolagen har beskrivit vilka identitetsuppgifter som Bolagen avser att behandla i syfte att undvika att en registrerad av misstag förknippas med en person som förekommer på sanktionslistorna. Bolagen kommer att ha en tydlig rutin på plats för hanteringen av potentiella träffar och för att identifiera om den potentiella träffen utgör en falsk träff eller en äkta träff. Det noteras att Datainspektionen inte har haft några synpunkter på Bolagens föreslagna behandlingsstruktur. Sanktionslistorna är publicerade och tillgängliga för allmänheten på internet. Det ytterligare potentiella intrång i de personers integritet som förekommer på listorna, som kontrollerna gentemot listorna skulle innebära, skulle vara ytterst begränsat. Bolagen kan bli föremål för stränga påföljder om de inte efterkommer amerikanska sanktions- och exportkontrollregler. Det finns även en betydande risk för renomméskada om det skulle komma fram att Bolagen har ingått en affärsförbindelse med en person som utpekats av den amerikanska staten för att ha samröre med terrorism eller spridning av massförstörelsevapen.

5 KAMMARRÄTTEN Avdelning 01 Mål nr m.fl. 5 Datainspektionen anser att överklagandet ska avslås och anför i huvudsak följande. Den självklara utgångspunkten vid prövningen av en ansökan om undantag enligt 21 är att prövningen ska avse samtliga personer som omfattas av den behandling av personuppgifter som kontrollerna innebär. Det är orimligt att exempelvis personalens integritetsintresse inte ska vägas in vid bedömningen om ett personalregister ska samköras med ett brottsregister. En behandling av personuppgifter måste vara tillåten enligt 9 och 10 PUL innan det överhuvudtaget kan bli aktuellt att medge undantag enligt 21 PUL för behandlingen. Datainspektionens beslut att inte medge undantag bygger på en helhetsbedömning av de effekter den tilltänkta behandlingen kan få för de registrerades integritet. Det aktuella ändamålet med behandlingen av personuppgifterna på sanktionslistorna är inte att endast lagra uppgifterna i den personuppgiftsansvariges IT-system. Ändamålet med behandlingen är att med hjälp av sanktionslistorna kontrollera om bl.a. Bolagens anställda är misstänkta för exempelvis inblandning i vapenhandel. När sanktionslistan och Bolagens personalregister sambearbetas för detta kontrolländamål uppkommer momentant en form av misstankeregister. Datainspektionens möjlighet att göra avsteg från huvudregeln att det endast är myndigheter som får behandla personuppgifter om lagöverträdelser m.m. är en ren undantagsmöjlighet som mot bakgrund av uttalandena i förarbetena ska användas restriktivt. Ett berättigat intresse hos Bolagen är en nödvändig men inte tillräcklig förutsättning för att få behandla uppgifter om lagöverträdelser. Datainspektionen har bedömt att det i det aktuella fallet saknas anledning att göra avsteg från huvudregeln. SKÄLEN FÖR KAMMARRÄTTENS AVGÖRANDE Vad målet gäller Frågan i målet är om Datainspektionen haft fog för sitt beslut att, med ett visst begränsat undantag för GE Capital AB, avslå Bolagens ansökningar

6 KAMMARRÄTTEN Avdelning 01 Mål nr m.fl. 6 om undantag från förbudet i 21 PUL för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott. Lagstiftning m.m. Enligt 21 första stycket PUL är det förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Regeringen har i 9 personuppgiftsförordningen överlåtit åt Datainspektionen att dels meddela generella föreskrifter om undantag från förbudet, dels i enskilda fall besluta om undantag från förbudet. Varken av 21 PUL eller av 9 personuppgiftsförordningen framgår dock under vilka förutsättningar undantag kan beviljas. Som exempel på situationer där det kan vara befogat med undantag nämns i förarbetena till personuppgiftslagen den behandling av uppgifter om brottmålsdomar som privata vård- och behandlingshem kan behöva utföra för att vårda och behandla den dömde på ett effektivt sätt samt viss registrering för försäkringsbolagens kravhantering (prop. 1997/98:44 s. 75 f.). I det utredningsbetänkande som föregick prop. 1997/98:44 anförs att en uppgift om att någon har eller kan ha begått ett visst brott också utgör en uppgift om lagöverträdelse, även om det inte finns någon dom eller motsvarande beträffande brottet, om uppgiften har kvalificerats till att avse något visst brott (SOU 1997:39 s. 383). Datainspektionens generella föreskrifter finns i DIFS 2010:1. I föreskrifterna görs en rad begränsade undantag från förbudet i 21 PUL. Undantag görs bl.a. för uppgifter som avser personer i nyckelpositioner eller ledande ställning inom det egna bolaget eller koncernen och det är sakligt motiverat att behandla uppgifterna i särskilt inrättade rapporteringskanaler för att utreda om personen ifråga varit delaktig i allvarliga oegentligheter som rör bokföring, intern bokföringskontroll, revision, bekämpande av

7 KAMMARRÄTTEN Avdelning 01 Mål nr m.fl. 7 mutor, brottslighet inom bank- och finansväsen, eller andra allvarliga oegentligheter som rör organisationens vitala intressen eller enskildas liv och hälsa. Inget av undantagen i DIFS 2010:1 är tillämpliga i Bolagens fall. Högsta förvaltningsdomstolen har i en dom den 16 februari 2016 i mål nr (TankStopp-målet) uttalat att Datainspektionens möjlighet att i ett enskilt fall besluta om undantag från förbudet mot behandling av uppgifter om lagöverträdelser bör utnyttjas med restriktivitet, mot bakgrund av att bestämmelserna i personuppgiftslagen syftar till att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. Kammarrättens bedömning Det är ostridigt att Bolagen är personuppgiftsansvariga för den planerade behandlingen. I domen i TankStopp-målet har Högsta förvaltningsdomstolen instämt i Datainspektionens bedömning att registrering av fordon i samband med att en person tankar vid en bensinstation utan att betala utgör behandling av personuppgifter som innefattar brott, i den mening som avses i PUL. Enligt kammarrättens mening kan i nu aktuella mål omständigheterna under vilka sanktionslistorna och t.ex. Bolagens personalregister sambearbetas för kontrolländamål liknas vid en form av misstankeregister. Kontrollerna kan leda till att det blir en träff, dvs. att t.ex. en anställd eller leverantör identifieras som en person vars personuppgifter finns med på någon av listorna. Kammarrätten instämmer mot den bakgrunden i underinstansernas bedömning att den personuppgiftsbehandling som Bolagen önskar genomföra innebär en behandling av personuppgifter som omfattas av förbudet i 21 PUL. Vid prövningen av om undantag ska medges bör beaktas integritetsintresset hos samtliga personer vars personuppgifter

8 KAMMARRÄTTEN Avdelning 01 Mål nr m.fl. 8 samkörs med listorna. En annan utgångspunkt skulle innebära att det skydd för den personliga integriteten som personuppgiftslagen ska garantera urholkas. Integritetsintresset är tydligt uttryckt i 1 PUL. Högsta förvaltningsdomstolen har i domen i TankStopp-målet understrukit att undantag från förbudet mot behandling av uppgifter om lagöverträdelser bör utnyttjas med restriktivitet. I nu aktuella mål handlar det i likhet med TankStopp-målet om kommersiella företag som behandlar personuppgifter om lagöverträdelser som rör brott. När det gäller syftet med personuppgiftsbehandlingen skiljer sig dock omständigheterna åt. I TankStopp-målet var syftet att motverka problemet med att fordon tankas utan att betalning sker, genom att bygga upp ett spärr-register baserat på misstankar om brott. I nu aktuella mål är syftet att följa de krav som det amerikanska regelsystemet ställer upp när det gäller rättssubjekt med vilka samtliga transaktioner är förbjudna. Eftersom Bolagen har kopplingar till två länder vars regler skiljer sig åt, kan detta medföra att Bolagen inte kan efterkomma reglerna i båda länderna. Vid den avvägning som måste göras mellan de enskildas intressen å ena sidan och Bolagens intressen å den andra, kan konstateras att det rör sig om ett stort antal personer som kommer att kontrolleras av Bolagen. Enligt kammarrättens uppfattning får kontrollerna anses vara förenade med avsevärda integritetsrisker. Det finns risker både för att kontrollerna som sådana kommer att upplevas som integritetsintrång och för att personer felaktigt kan komma att förknippas med personer som förekommer på sanktionslistorna, med de negativa konsekvenser som detta kan komma att innebära. Att listorna finns publicerade på internet leder inte till någon annan slutsats. Som Högsta förvaltningsdomstolen framhåller i domen i TankStopp-målet är behandling av personuppgifter om lagöverträdelser normalt förbehållen brottsbekämpande myndigheter och reglerad i

9 KAMMARRÄTTEN Avdelning 01 Mål nr m.fl. 9 speciallagstiftning. Integritetsintresset hos de enskilda vars personuppgifter samkörs med listorna måste mot denna bakgrund anses väga mycket tungt. Bolagen vill å sin sida kunna efterleva amerikanska myndigheters krav på kontroller av enskilda individer gentemot listorna. Frånvaron av kontroll kan innebära att amerikanska myndigheter vidtar åtgärder som medför att Bolagen kan drabbas av avsevärda ekonomiska påföljder. Risken för eventuella renomméskador bör också vägas in. Att inte få utföra kontrollerna uppges även kunna försvåra för Bolagen att bedriva verksamhet i Sverige. Kammarrätten har förståelse för att Bolagen hamnar i en besvärlig situation om de inte kan följa de krav på kontroller som det amerikanska regelsystemet fordrar. Bolagen får alltså anses ha ett legitimt intresse av den planerade behandlingen. Inte desto mindre anser kammarrätten att de enskildas intresse av att skyddas mot det integritetsintrång som behandlingen innebär väger tyngre. De av Bolagen uppgivna säkerhetsåtgärderna framstår i sammanhanget inte som tillräckliga för att uppväga integritetsintresset hos de enskilda. Kammarrätten instämmer därför i underinstansernas bedömning att det inte finns förutsättningar att bevilja Bolagen de sökta undantagen. Överklagandena ska därmed avslås. HUR MAN ÖVERKLAGAR, se bilaga B (formulär 1). Ingela Fridström Johan Axelsson Eva Edwardsson kammarrättsråd kammarrättsråd kammarrättsråd ordförande referent Sara Elgstrand Johansson föredragande

10 FÖRVALTNINGSRÄTTEN Allmänna avdelningen Enhet Meddelad i Stockholm Bilaga A Mål nr , , , , , , , , , , och KLAGANDE 1. GE Healthcare Bio-Sciences AB, GE Healthcare Europe GmbH Tyskland Filial Sverige, GEMS PET Systems AB, GE Healthcare AB, GE Real Estate (Sweden) AB, GE Capital AB, GE Lighting AB, Dresser Wayne AB, International General Electric AB, GE Structured Finance AB, Breas Medical AB, Uppsala Imanet AB, GE Healthcare Sverige AB, Ombud för 1-13: Advokat Johan Sundberg och jur.kand. Johan Sundkvist Advokatfirma DLA Nordic KB Box Stockholm MOTPART Datainspektionen Box Stockholm ÖVERKLAGAT BESLUT Datainspektionens beslut , , , SAKEN Tillämpning av personuppgiftslagen FÖRVALTNINGSRÄTTENS AVGÖRANDE Förvaltningsrätten avslår överklagandet. Dok.Id Postadress Besöksadress Telefon Telefax Expeditionstid Tegeluddsvägen måndag fredag Stockholm E-post: 08:00-16:30 forvaltningsrattenistockholm@dom.se

11 FÖRVALTNINGSRÄTTEN Allmänna avdelningen YRKANDEN M.M m.fl. 2 Datainspektionen har avslagit klagande bolags (i fortsättningen benämnda bolagen) ansökningar om undantag från förbudet i 21 första stycket personuppgiftslagen (1998:204), PuL, att behandla personuppgifter om lagöverträdelser. Detta dock med undantag för GE Capital AB, som enligt inspektionens beslut i viss mån får behandla sådana personuppgifter genom kontroller mot den av OFAC utfärdade SDN-listan. GE Capital AB:s ansökan i övrigt avslogs. Bolagens ansökningar gäller kontroller av potentiella kunder m.fl. gentemot ett antal listor. Dessa listor beskriver inspektionen huvudsakligen på nedanstående sätt. Som skäl för sitt beslut att avslå ansökningarna angav Datainspektionen att det som bolagen har anfört inte kan motivera ett undantag enligt 21 PuL. SDN-listan Den amerikanska staten har utfärdat ekonomiska sanktioner mot ett flertal stater, individer och enheter. Sanktionerna innebär att transaktioner med s.k. Special Designated Nationals and Blocked Persons (SDN) ska blockeras eller frysas. Detsamma gäller tillgångar som tillhör en SDN. Sanktionsprogrammet administreras av OFAC, som är en myndighet under det amerikanska finansdepartementet (Department of Treasury). Det är OFAC som har utfärdat den s.k. SDN-listan som innehåller individer och enheter som är föremål för sanktioner. Sanktionsprogrammen är som huvudregel tillämpliga på bl.a. rättshandlingar företagna av juridiska personer som är etablerade i USA (inklusive utländska filialer). Några av programmen har ett ännu vidare tillämpningsområde och omfattar även utländska dotterbolag till amerikanska företag. BIS Denied Persons-listan

12 FÖRVALTNINGSRÄTTEN Allmänna avdelningen m.fl. 3 Den amerikanska staten har infört restriktioner för transaktioner med parter som nekats exporträttigheter på grund av brott mot amerikanska exportkontrollagar och exportkontrollföreskrifter. Restriktionerna är tillämpliga vid transaktioner med varor/materiella tillgångar (inklusive mjukvara och teknologi) som är föremål för bestämmelserna i U.S. Export Administration Regulations (EAR), inklusive varor i USA, alla varor som har ett amerikanskt ursprung, var än varan finns, utländska varor som innehåller mer än en miniminivå av amerikanska produkter som är föremål för amerikanska exportbestämmelser, samt vissa utlandstillverkade produkter som inbegriper amerikansk ursprungsteknik eller mjukvara. För att administrera dessa restriktioner hanterar BIS, som är en myndighet under det amerikanska US Department of Commerce, BIS Denied Personslistan. Denna lista består av individer och företag som nekats export-och återexporträttigheter av BIS. BIS Entity-listan BIS Entity-listan anger parter, såsom företag och enskilda personer, som har kommit till den amerikanska statens kännedom på grund av inblandning i vapenspridningsverksamhet. En transaktion eller affärsförbindelse med en part som är upptagen på BlS Entity-listan kan utlösa ett licenskrav enligt EAR. BIS Entity-listan anger vilka licenskrav som är tillämpliga på varje part som återfinns på listan. Dessa licenskrav gäller utöver andra licenskrav som är tillämpliga på transaktionen enligt bestämmelserna i EAR. BIS Entity-listan innehåller även uppgift om personer som är inblandade i aktiviteter som bedöms stå i strid med USA:s nationella säkerhet och/eller utrikespolitiska intressen. ISN icke-spridningssanktionslistan USA har uppställt rättsliga restriktioner enligt olika amerikanska rättsliga källor tillämpliga på transaktioner som inbegriper utländska individer, juridiska personer och stater som ägnar sig åt spridningsverksamhet av

13 FÖRVALTNINGSRÄTTEN Allmänna avdelningen m.fl. 4 massförstörelsevapen. För att administrera dessa restriktioner hanterar en myndighet under det amerikanska utrikesdepartementet en ickespridningssanktionslista. Restriktionerna innebär att samtliga transaktioner mellan en part som finns upptagen på listan och amerikanska rättssubjekt är förbjudna, samt att eventuella tillgångar som en sådan part besitter och som är föremål för amerikansk jurisdiktion ska frysas. Bolagen överklagar Datainspektionens beslut och yrkar att förvaltningsrätten ska medge undantag gällande kontroller av - potentiella kunder, leverantörer och samarbetspartners, - befintliga kunder, - arbetssökande, arbetstagare och uppdragstagare (exempelvis konsulter), - potentiella leverantörer, tjänsteleverantörer, samarbetspartners (exempelvis joint venture eller samriskföretag) samt - ställföreträdare, firmatecknare, ägare, verkliga huvudmän och borgensmän för de ovan angivna personerna (i förekommande fall). Till stöd för sin talan anför bolagen bl.a. följande. Samtliga bolag tillhör General Electric-koncernen som tillhandahåller produkter och tjänster inom en rad marknader såsom energi, sjukvård, finansiella tjänster, flyg och transport. I Sverige bedriver bolagen verksamhet inom fyra affärsområden; finansiella tjänster, fastigheter, sjukvård och energi. Moderbolaget har sitt huvudkontor i USA och General-Electrics verksamhetsgrenar har huvudkontor för EMEA i Europa. De föreslagna kontrollerna innefattar enbart behandling av personuppgifter hänförliga till de personer som faktiskt förts upp på listorna av amerikanska myndigheter och inte behandling av General Electrics samtliga anställda, kunder i Sverige etc. Svenska bolag är redan skyldiga att efterkomma de finansiella sanktioner och exportkontrollregler som införts av EU och FN. Dessa sanktionsprogram motsvarar eller liknar de amerikanska sanktionsprogrammen, vilka i olika utsträckning

14 FÖRVALTNINGSRÄTTEN Allmänna avdelningen m.fl. 5 implementerat samma resolutioner som antagits av Säkerhetsrådet och således har samma eller liknande ändamål. Kontrollerna kommer således inte avsevärt att skilja sig från de redan tillåtna kontrollerna gentemot EU:s sanktionslista. Bolagen har ett berättigat intresse av att efterleva det amerikanska regelsystemet. Detta i synnerhet då General Electric, vars moderbolag som ovan redovisats är etablerat i USA och dess utländska dotterbolag, filialer och närstående bolag i Sverige kan bli föremål för stränga påföljder vid brott mot dessa regler. Överträdelser kan föranleda mycket stränga böter med viten på upp till USD för varje överträdelse och med högre böter och/eller fängelse för straffsanktionerade överträdelser. Även den potentiella skada som kan drabba bolagens renommé ska beaktas. General Electrics större leverantörer och kunder i USA kräver dessutom avtalsmässigt typiskt sett efterlevnad av tillämpliga amerikanska regler. Kontroller mot de amerikanska listorna är därför i praktiken en nödvändig förutsättning för att General Electric ska kunna bedriva verksamhet i Sverige. Att nekas det ansökta undantaget innebär således oacceptabla konsekvenser för General Electric. De föreslagna kontrollerna skulle endast utgöra ett marginellt intrång i de registrerades personliga integritet, om något intrång över huvud taget. Bolagens berättigade intresse överväger alltså klart det potentiella intrånget och därmed föreligger skäl att meddela ansökta undantag. Det finns inget krav på att behandlingen ska ha särskilt stöd i svensk lag för att ett undantag från förbudet i 21 PuL ska kunna beviljas. Som skriftlig bevisning åberopar bolagen bl.a. ett utlåtande av Sören Öman. Datainspektionen bestrider yrkandena och uppger bl.a. följande.

15 FÖRVALTNINGSRÄTTEN Allmänna avdelningen m.fl. 6 Datainspektionen kan inledningsvis inte vitsorda de konsekvenser som bolagen uppger att ett nekat undantag kan få för företag i Sverige. Prövningen av om undantag från förbudet att behandla personuppgifter om lagöverträdelser ska medges bör bygga på en helhetsbedömning. I en sådan helhetsbedömning kan även bestämmelser i utländsk lagstiftning vägas in. Med hänsyn till att undantagsmöjligheten ska utnyttjas restriktivt är det endast i mycket speciella fall som denna möjlighet kan användas på behandling av personuppgifter som avser ett ändamål som saknar stöd i svensk lagstiftning och i EU-rätten. Det har inte framkommit några uppgifter som visar att det skulle vara nödvändigt för bolagen att behandla personuppgifter från dessa listor för att leva upp till krav i sådan lagstiftning. Undantag bör därför inte medges. SKÄLEN FÖR AVGÖRANDET Förvaltningsrätten noterar inledningsvis att Datainspektionen till viss del medgett GE Capital AB:s ansökan om undantag enligt 21 PuL. Dessa delar av bolagets ansökan är inte föremål för förvaltningsrättens prövning utan domstolen ska enbart pröva om Datainspektionen har haft fog för sina beslut att i övriga delar avslå bolagens ansökningar. Enligt 21 första stycket PuL är det förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Den kontroll mot listor som bolagen vill göra är enligt denna huvudregel förbjuden. Bestämmelsen har sin grund i artikel 8.5 i EG-direktivet om personuppgifter 1, vari anges att behandling av uppgifter om lagöverträdelser, brottmålsdomar eller säkerhetsåtgärder endast får utföras under kontroll av en myndighet eller om lämpliga skyddsåtgärder finns i nationell lag med förbehåll för de ändringar som medlemsstaterna 1 Europaparlamentets och Rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter.

16 FÖRVALTNINGSRÄTTEN Allmänna avdelningen m.fl. 7 kan tillåta med stöd av nationella bestämmelser som innehåller lämpliga och specifika skyddsåtgärder. Datainspektionen får dock enligt 21 fjärde stycket PuL och 9 personuppgiftsförordningen (1998:1191) meddela undantag från det ovan beskrivna förbudet. Avsikten är att myndigheten ska kunna besluta om sådana undantag i de fall enskilda har ett befogat intresse av att behandla personuppgifter om lagöverträdelser, och behandlingen står under tillfredsställande kontroll av en myndighet (se SOU 1997:39 s 379). Vare sig av ordalydelsen i 21 PuL eller av 9 personuppgiftsförordningen framgår dock närmare under vilka förutsättningar ett sådant undantag kan beviljas. Dispensmöjligheten bör dock på samma sätt som gäller enligt 6 kreditupplysningslagen som i här aktuellt avseende utformats i överrensstämmelse med 21 PuL utnyttjas synnerligen restriktivt (jfr prop. 2000/01:450 s. 24). Förvaltningsrätten beaktar vid denna bedömning särskilt följande. Förvaltningsrätten finner inte anledning att ifrågasätta de uppgifter som bolagen har lämnat om de legala konsekvenser som en överträdelse av amerikansk lagstiftning kan komma att innebära. Att inte genomföra kontroller mot listorna kan även enligt bolagen leda till andra konsekvenser, såsom t.ex. försvårad handel, risk för renomméskada och att det kan bli svårare att bedriva verksamhet i Sverige. Även dessa omständigheter bör enligt förvaltningsrättens mening tillmätas betydelse vid bedömningen av bolagens intresse av personuppgiftsbehandlingen. Mot bolagens intressen ska dock ställas de registrerades intresse av skydd mot kränkning av den personliga integriteten. I detta sammanhang bör enligt förvaltningsrättens mening även beaktas att det finns en risk för att personer som kontrolleras mot de aktuella listorna kan komma att uppleva att kontrollen innebär ett intrång i deras personliga integritet. Det kan dessutom inte uteslutas att personer och/eller bolag felaktigt kan komma att förknippas med på listan förekommande personer med samma namn som den kontrollerade personen. Sammantaget finner förvaltningsrätten att de

17 FÖRVALTNINGSRÄTTEN Allmänna avdelningen m.fl. 8 registrerades intressen av skydd mot kränkningar av den personliga integriteten är starkare än bolagens intresse av att utföra kontroller gentemot de amerikanska listorna. Datainspektionen har således haft fog för sina beslut att avslå ansökningarna om undantag från förbudet att behandla uppgifter om lagöverträdelser enligt 21 PuL. Överklagandena ska därmed avslås. HUR MAN ÖVERKLAGAR Detta avgörande kan överklagas. Information om hur man överklagar finns i bilaga 1 (DV 3109/1a). Madeleine Benndorf f.d.rådman Nämndemännen Laila Bäckdahl, Per-Ove Karlsson och Leena-Karie Zetterlund-Nilsson har också deltagit i avgörandet. Håkan Jöngren har föredragit målet.

18 Bilaga 1 Bilaga HUR MAN ÖVERKLAGAR - PRÖVNINGSTILLSTÅND DV 3109/1A Producerat av Domstolsverket Den som vill överklaga förvaltningsrättens beslut ska skriva till Kammarrätten i Stockholm. Skrivelsen ska dock skickas eller lämnas till förvaltningsrätten. För att kammarrätten ska kunna ta upp Ert överklagande måste Er skrivelse ha kommit in till förvaltningsrätten inom tre veckor från den dag då Ni fick del av domen/beslutet. Om beslutet har meddelats vid en muntlig förhandling, eller det vid en sådan förhandling har angetts när beslutet kommer att meddelas, ska dock överklagandet ha kommit in inom tre veckor från den dag domstolens beslut meddelades. Om sista dagen för överklagande infaller på lördag, söndag eller helgdag, midsommarafton, julafton eller nyårsafton räcker det att besvärshandlingen kommer in nästa vardag. Om klaganden är en part som företräder det allmänna, ska överklagandet alltid ha kommit in inom tre veckor från den dag beslut meddelades. För att ett överklagande ska kunna tas upp i kammarrätten fordras att prövningstillstånd meddelas. Kammarrätten lämnar prövningstillstånd om 1. det finns anledning att betvivla riktigheten av det slut som förvaltningsrätten har kommit till, 2. det inte utan att sådant tillstånd meddelas går att bedöma riktigheten av det slut som förvaltningsrätten har kommit till, 3. det är av vikt för ledning av rättstillämpningen att överklagandet prövas av högre rätt, eller 4. det annars finns synnerliga skäl att pröva överklagandet. Om prövningstillstånd inte meddelas står förvaltningsrättens beslut fast. Det är därför viktigt att det klart och tydligt framgår av överklagandet till kammarrätten varför man anser att prövningstillstånd bör meddelas. Skrivelsen med överklagande ska innehålla 1. Klagandens person-/organisationsnummer, postadress, e-postadress och telefonnummer till bostaden och mobiltelefon. Adress och telefonnummer till klagandens arbetsplats ska också anges samt eventuell annan adress där klaganden kan nås för delgivning. Om dessa uppgifter har lämnats tidigare i målet och om de fortfarande är aktuella behöver de inte uppges igen. Om klaganden anlitar ombud, ska ombudets namn, postadress, e-postadress, telefonnummer till arbetsplatsen och mobiltelefonnummer anges. Om någon person- eller adressuppgift ändras, ska ändringen utan dröjsmål anmälas till kammarrätten. 2. den dom/beslut som överklagas med uppgift om förvaltningsrättens namn, målnummer samt dagen för beslutet, 3. de skäl som klaganden anger till stöd för en begäran om prövningstillstånd, 4. den ändring av förvaltningsrättens dom/beslut som klaganden vill få till stånd, 5. de bevis som klaganden vill åberopa och vad han/hon vill styrka med varje särskilt bevis. Adressen till förvaltningsrätten framgår av domen/beslutet.

19 Bilaga B Bilaga HUR MAN ÖVERKLAGAR Den som vill överklaga kammarrättens avgörande ska skriva till Högsta förvaltningsdomstolen. Skrivelsen ställs alltså till Högsta förvaltningsdomstolen men ska skickas eller lämnas till kammarrätten. Överklagandet ska ha kommit in till kammarrätten inom tre veckor från den dag då klaganden fick del av beslutet. Om beslutet har meddelats vid en muntlig förhandling, eller det vid en sådan förhandling har angetts när beslutet kommer att meddelas, ska dock överklagandet ha kommit in inom tre veckor från den dag domstolens beslut meddelades. Tiden för överklagande för det allmänna räknas dock från den dag beslutet meddelades. Om sista dagen för överklagande infaller på en lördag, söndag eller helgdag, midsommar-, jul- eller nyårsafton, räcker det att skrivelsen kommer in nästa vardag. För att ett överklagande ska kunna tas upp i Högsta förvaltningsdomstolen krävs att prövningstillstånd meddelas. Högsta förvaltningsdomstolen lämnar prövningstillstånd om det är av vikt för ledning av rättstillämpningen att överklagandet prövas eller om det finns synnerliga skäl till sådan prövning, såsom att det finns grund för resning eller att målets utgång i kammarrätten uppenbarligen beror på grovt förbiseende eller grovt misstag. Om prövningstillstånd inte meddelas står kammarrättens beslut fast. Det är därför viktigt att det klart och tydligt framgår av överklagandet till Högsta förvaltningsdomstolen varför man anser att prövningstillstånd bör meddelas. Skrivelsen med överklagande ska innehålla följande uppgifter; 1. den klagandes namn, person-/organisationsnummer, postadress, e-postadress och telefonnummer till bostaden och mobiltelefon. Dessutom ska adress och telefonnummer till arbetsplatsen och eventuell annan plats där klaganden kan nås för delgivning lämnas om dessa uppgifter inte tidigare uppgetts i målet. Om klaganden anlitar ombud, ska ombudets namn, postadress, e-postadress, telefonnummer till arbetsplatsen och mobiltelefonnummer anges.om någon person- eller adressuppgift ändras är det viktigt att anmälan snarast görs till Högsta förvaltningsdomstolen 2. det beslut som överklagas med uppgift om kammarrättens namn, målnummer samt dagen för beslutet 3. de skäl som klaganden vill åberopa för sin begäran om att få prövningstillstånd 4. den ändring av kammarrättens beslut som klaganden vill få till stånd och skälen för detta 5. de bevis som klaganden vill åberopa och vad han/hon vill styrka med varje särskilt bevis. DV 681 Formulär 1