FOTOGRAFIER OCH INTEGRITETSSKYDD UTGÅEN- DE FRÅN PERSONUPPGIFTSLAGEN

Transkript

1 DATAOMBUDSMANNENS BYRÅ FOTOGRAFIER OCH INTEGRITETSSKYDD UTGÅEN- DE FRÅN PERSONUPPGIFTSLAGEN Uppdaterad

2 INNEHÅLL 1. ALLMÄNT ETT FOTOGRAFI SOM PERSONUPPGIFT OCH SOM EN DEL AV ETT PERSONREGISTER HUR BEHANDLINGEN AV FOTOGRAFIER REGLERAS AV BESTÄMMELSERNA I PERSONUPPGIFTSLAGEN UTLÄMNANDE AV FOTOGRAFIER UR PERSONREGISTER OM KRITERIERNA FÖR EN JURIDISK BEDÖMNING AV ETT FOTOGRAFI UNDANTAG FRÅN TILLÄMPNINGEN AV PERSONUPPGIFTSLAGEN FOTOGRAFIER OCH INTERNET BESTÄMMELSER I STRAFFLAGEN SOM SKYDDAR INTEGRITETEN OCH ANVÄNDNINGEN AV FOTOGRAFIER ANDRA JURIDISKA FRÅGOR I ANSLUTNING TILL FOTOGRAFIER BILAGA Dataombudsmannens ställningstaganden om användningen av fotografier och integritetsskyddet. - Exempel ur arbetslivet - Exempel inom hälso- och sjukvårdens registerföring, släktforskning, skolvärlden samt organiseringen av idrottstävlingar Behandlingen av fotografier är ur juridisk synvinkel förknippad med flera olika grundläggande frioch rättigheter, såsom integritetsskyddet, yttrandefriheten, upphovsrätten samt även offentlighetsprincipen i sådana fall där ett fotografi ingår i en myndighets handlingar. I denna anvisning, som utarbetats av dataombudsmannens byrå, redogörs för hur fotografier skall behandlas med hänsyn till integritetsskyddet och som en del av ett personregister. Syftet med anvisningen är också att presentera annan lagstiftning som berör ämnet och berätta hur en persons rätt till sin egen bild bör beaktas vid behandlingen av fotografier med hänsyn till integritetsskyddet och personuppgiftslagen. Då fotografier som uppfyller kriterierna för att kunna definieras som personuppgifter behandlas på det sätt som anges i avsnitt 2 med hjälp av automatisk databehandling eller som en del av ett personregister är det fråga om sådan behandling av fotografier som avses i denna broschyr. I sådana fall där A) ett fotografi behandlas uteslutande för personliga eller därmed jämförbara sedvanliga privata syften, B) det är fråga om i massmedier publicerat material som sådant eller C) ett fotografi behandlas för redaktionella samt konstnärliga eller litterära syften, tillämpas inte, på de grunder som nämns i avsnitt 6, personuppgiftslagen som sådan. Syftet med de grunder för undantag som nämns i punkterna B och C är att tillgodose den i Finlands grundlag tryggade yttrandefriheten. Den personliga integriteten skyddas vid behandlingen av fotografier förutom av bestämmelserna i personuppgiftslagen också av bestämmelserna i strafflagen. Dessa presenteras i avsnitt 8.

3 1. Allmänt Med en människas rätt till sin egen bild avses en sammanhängande helhet av rättigheter som består av normer i olika lagar och som exemplifieras i rättspraxisen och rättslitteraturen. Denna helhet reglerar bl.a. användningen av fotografier. Rättsskyddet i anslutning till egen bild kan anses bestå av å ena sidan frihetsrättsliga och å andra sidan förmögenhetsrättsliga element. Med andra ord är en persons rätt till sin egen bild som juridiskt begrepp förknippad med dels skyddet för personens privatliv, dels personens eventuella rätt till bildens ekonomiska värde. Dataombudsmannen är med stöd av personuppgiftslagen (PuppL) (523/1999) behörig myndighet att övervaka samt ge anvisningar och råd om behandlingen av personuppgifter så att målen för lagen i fråga nås (38 PuppL). På denna grund redogörs nedan för frågor om behandlingen av fotografier i anslutning till integritetsskyddet i första hand i sådana situationer där ett fotografi betraktas som en personuppgift på det sätt som avses i lagen. Vissa speciallagar innehåller också specifika bestämmelser om behandlingen av fotografier, och bestämmelserna i dessa lagar tillämpas delvis primärt i förhållande till personuppgiftslagen. Exempel på speciallagar och specialbestämmelser är lagen om behandling av personuppgifter i polisens verksamhet (761/2003), lagen om identitetskort (829/1999) och lagen om fordonstrafikregistret (541/2003) samt statsrådets förordning om privata säkerhetstjänster (534/2002) och förordningen om polisens personregister (1116/1995). 2. Fotografiet som personuppgift och som en del av ett personregister Med personuppgift avses alla slags anteckningar som beskriver en fysisk person eller hans egenskaper eller levnadsförhållanden och som kan hänföras till honom själv eller till hans familj eller någon som lever i gemensamt hushåll med honom (3 1 punkten PuppL). Med stöd av denna definition betraktas ett fotografi, utifrån vilket en person kan identifieras, som en i lagen avsedd personuppgift. Detta tolkningsmässiga utgångsläge har bekräftats i förarbetena till lagstiftningen (RP 96/1998, sid. 35) samt i datasekretessnämndens praxis (bl.a. datasekretessnämndens beslut 1/ ). Vid bedömningen av en persons identifierbarhet torde det vara ändamålsenligast att utgå från en objektiv måttstock. Eftersom det tillsvidare inte finns någon omfattande tidigare praxis i anslutning till denna bedömning och det dessutom är svårt att tillämpa sådan praxis allmängiltigt, kan man som ett utgångsläge för bedömningen använda ett kriterium som nämns i de rekommendationer angående dataskydd som godkänts för olika branscher av Europarådet. Enligt detta kriterium kan en person inte betraktas som identifierbar, om identifieringen kräver oskäligt mycket tid, kostnader och arbete (se även avsnitt 5 och datasekretessnämndens beslut 13/ ). Med tanke på tillämpningen av personuppgiftslagen är också begreppet personregister väsentligt, liksom även kravet att definiera syftet med behandlingen av personuppgifter (personregistrets användningsändamål). Personuppgiftslagen tillämpas på all automatisk behandling av personuppgifter samt på annan behandling av personuppgifter då personuppgifterna utgör eller är avsedda att utgöra ett personregister eller en del av ett sådant (2 2 mom. PuppL). Med personregister avses en datamängd som innehåller personuppgifter och som består av anteckningar som hör samman på grund av sitt användningsändamål, och som helt eller delvis behandlas med automatisk databehandling eller har ordnats som ett kartotek, en förteckning eller på ett annat motsvarande sätt så att information om en bestämd person kan erhållas med lätthet och utan oskäliga kostnader (3 3 punkten PuppL). Enligt 6 i personuppgiftslagen skall ändamålet med behandlingen av personuppgifter preciseras så att av det framgår för vilka av

4 den registeransvariges funktioner personuppgifter behandlas. Med tanke på bedömningen av verksamhetens laglighet är det av central betydelse att behandlingens ändamål definieras (se avsnitt 3). Med stöd av lagen tillämpas således bestämmelserna i personuppgiftslagen i regel på all sådan behandling av fotografier där det förekommer identifierbara personer på fotografierna och där fotografierna behandlas eller ordnas på det sätt som beskrivs ovan. Enligt begreppsapparaten i personuppgiftslagen betraktas en instans som behandlar fotografier på ovan nämnda sätt som registeransvarig för ett personregister som innehåller bilder (3 4 punkten PuppL), och därmed omfattas av i lagen närmare angivna förpliktelser. Personuppgiftslagen innehåller också en förteckning över undantagsfall, i vilka lagen inte tillämpas. Dylika undantag är bl.a. behandling av personuppgifter för personliga eller sedvanliga privata ändamål (t.ex. att bilder, inklusive mobilkamerabilder, tas och ordnas i en persons eget fotoalbum eller att bilder tagna med mobilkamera ordnas i en egen datafil), hopsamling av bilder som publicerats i tidningar eller andra massmedier (t.ex. tidningsurklipp), användning av fotografier i redaktionellt syfte samt behandling av fotografier i konstnärligt eller litterärt syfte (t.ex. anordnande av fotoutställning eller illustrering av böcker). Dessa specialfall behandlas närmare i avsnitt Hur behandlingen av fotografier regleras av bestämmelserna i personuppgiftslagen Integritetsskyddet är en av de grundläggande rättigheter som tryggas i Finlands grundlag (731/1999). I 10 1 mom. i grundlagen föreskrivs följande: Vars och ens privatliv, heder och hemfrid är tryggade. Närmare bestämmelser om skydd för personuppgifter utfärdas genom lag. Målet med de förpliktelser som fastställs i personuppgiftslagstiftningen är bl.a. att förbättra medborgarnas möjligheter att utöva sina rättigheter när det gäller skyddet för personlig integritet och behandling av personuppgifter samt att främja utvecklandet och iakttagandet av god informationshantering. Enligt 1 i personuppgiftslagen är syftet med lagen att genomföra de grundläggande fri- och rättigheter som tryggar skydd för privatlivet samt övriga grundläggande fri- och rättigheter som tryggar skyddet för den personliga integriteten vid behandling av personuppgifter samt att främja utvecklandet och iakttagandet av god informationshantering. Behandling av personuppgifter på det sätt som beskrivs ovan i avsnitt 2 är sådan verksamhet vars laglighet alltid skall bedömas utifrån de krav som personuppgiftslagen ställer på behandlingen av uppgifter. I sådana fall där personuppgiftslagen skall tillämpas, dvs. till exempel då fotografier behandlas för att göras tillgängliga för allmänheten på internet eller då fotografier bildar ett sådant register som avses i personuppgiftslagen, skall de allmänna principerna i personuppgiftslagen beaktas ända från början av behandlingsprocessen. Enligt aktsamhetsplikten i 5 i personuppgiftslagen skall den registeransvarige behandla personuppgifterna i enlighet med lag samt iaktta aktsamhet och god informationshantering och även i övrigt förfara så att skyddet av den registrerades privatliv och andra grundläggande fri- och rättigheter som tryggar skyddet för den personliga integriteten inte begränsas utan en i lag angiven grund. Ett lika viktigt allmänt utgångsläge med stöd av den planeringsskyldighet som nämns i 6 i personuppgiftslagen är att behandlingen av personuppgifter alltid skall vara sakligt motiverad med hänsyn till den registeransvariges lagliga och godtagbara verksamhet. Därtill skall de källor som i regel används för registret samt de ändamål för vilka personuppgifter behandlas och lämnas ut planeras innan man börjar insamla eller sammanställa personuppgifter till ett personregister. I sådana fall där bilder görs tillgängliga för allmänheten och detta kränker en uttrycklig bestämmelse i lag eller en rättighet som tillhör en person på en bild och som tryggas i någon annan lag, kan den i 6 i personuppgiftslagen angivna allmänna förutsättningen för att behandlingen av personuppgifter skall vara sakligt motiverad aldrig uppfyllas. Vikten av en godtagbar grund framhävs också av att denna grund med tanke på fotografier måste gälla också vid själva fotograferingen; att t.ex. ta ett fotografi som är ärekränkande och som orsakar lidande eller förakt för den som är föremål

5 för bilden kan redan i sig betraktas som lagstridigt. Om fotografier införs i ett register utan att det är nödvändigt, dvs. i strid med relevanskravet enligt 9 1 mom. i personuppgiftslagen, anses detta inte vara förenligt med god informationshantering och personuppgiftslagen. Utöver ovan nämnda allmänna förpliktelser i personuppgiftslagen skall i första hand även beaktas att enligt 8 1 mom. i personuppgiftslagen kan behandlingen av personuppgifter endast grunda sig på en i lagen fastställd grund. Bland dessa grunder kan nämnas: 1) den registrerades entydiga samtycke (8 1 mom. 1 punkten PuppL) 2) ett kund- eller tjänstgöringsförhållande, ett medlemskap eller något annat därmed jämförbart förhållande som skapar en saklig anknytning (8 1 mom. 5 punkten PuppL) 3) om det bestämts om behandlingen i lag eller om behandlingen föranleds av en uppgift eller förpliktelse som anvisas den registeransvarige i lag eller som påförts honom med stöd av lag (8 1 mom. 4 punten PuppL). Också allmänt tillgängliga uppgifter som beskriver en persons ställning, uppgifter och skötseln av dessa uppgifter inom ett offentligt samfund eller inom näringslivet kan behandlas i syfte att trygga rättigheter och intressen. (8 1 mom. 8 punkten PuppL) I fråga om fotografier tillämpas personuppgiftslagen i allmänhet i sådana fall där ett fotografi utgör en del av ett personregister. Det är fråga om en lagbaserad rättighet till exempel då fotografier insamlas och lagras med stöd av passlagen för beviljande av pass. När fotografier införs i ett personregister är det ofta fråga om sådana situationer som nämns i 8 1 mom. 5 punkten i personuppgiftslagen, i vilka det råder en saklig anknytning mellan den registeransvarige och den registrerade. Som ett exempel kan nämnas personaladministrativa register, i vilka det under vissa förutsättningar kan vara nödvändigt att införa fotografier av alla anställda eller sådana anställda som har en viss ställning i organisationen. Fotografiet skall vara behövligt med tanke på registrets användningsändamål. Om ett fotografi införs i ett register skall detta också grunda sig på ett uttryckligt syfte, t.ex. att en person skall kunna identifieras eller individualiseras bättre. Användning av fotografier kan anses behövligt under vissa förutsättningar till exempel i fråga om passerkorten på en arbetsplats när det gäller att säkerställa identifierbarheten. I detta sammanhang kan också en persons samtycke lyftas fram särskilt som en grund som berättigar till behandling av personuppgifter. Med samtycke enligt den självbestämmanderätt som antagits som bestämmande princip i personuppgiftslagen avses enligt 3 7 punkten i personuppgiftslagen varje slag av frivillig, särskild och på information baserad viljeyttring genom vilken den registrerade godtar behandling av personuppgifter som gäller honom. Samtycket behöver inte nödvändigtvis vara skriftligt, men bland annat för att stöda kravet att samtycket skall vara baserat på information innehåller personuppgiftslagen en upplysningsplikt för den som samlar in/behandlar personuppgifter. Upplysningsplikten enligt 24 i personuppgiftslagen skall i regel alltid iakttas vid insamling av personuppgifter. I 24 1 mom. i personuppgiftslagen konstateras följande: Den registeransvarige skall vid insamling av personuppgifter se till att den registrerade kan få uppgift om den registeransvarige och vid behov om dennes företrädare, ändamålet med behandlingen av personuppgifterna samt vart uppgifter i regel lämnas ut, liksom om de uppgifter som behövs för att utöva den registrerades rättigheter vid behandlingen av personuppgifter. Uppgifterna skall ges då personuppgifter samlas in och registreras eller, om uppgifterna samlas in hos någon annan än den registrerade själv och avsikten är att lämna ut uppgifterna,

6 senast då uppgifterna första gången lämnas ut. Den information som ges i samband med begäran om samtycke skall därtill innefatta alla uppgifter som är väsentliga med tanke på den som meddelar sitt samtycke. Se dataombudsmannens anvisningar Allmän upplysningsplikt enligt personuppgiftslag samt Gör upp en dataskyddsbeskrivning!" Ett allmänt, bakomliggande utgångsläge för personuppgiftslagstiftningen är att bestämmelserna i personuppgiftslagen strävar efter att förebygga eventuella problemsituationer genom att styra alla instanser som behandlar personuppgifter den offentliga förvaltningen, företag, sammanslutningar och andra registeransvariga i riktning mot god databehandling och god informationshantering. Vikten av begäran om samtycke är i detta sammanhang ytterst central. Möjligheten att utöva självbestämmanderätt och förbudsrätt vid offentlig behandling av fotografier återspeglar alltid iakttagande av god informationshantering enligt 5 i personuppgiftslagen, varvid man effektivt kan undgå eventuella problem som uppstår i efterhand. En annan allmän regel som ingår i personuppgiftslagen och som bör lyftas fram är rätten till insyn. Om ett fotografi har införts i ett personregister, har den registrerade med stöd av 26 i personuppgiftslagen rätt till insyn av fotografiet och andra uppgifter som gäller honom eller henne. Se dataombudsmannens anvisning Kontroll av uppgifter som ingår i ett personregister, där det bland annat också redogörs för vissa förfaranden i anslutning till utövandet av rätten till insyn. 4. Utlämnande av fotografier ur personregister Fotografier som införts i ett personregister betraktas som personuppgifter, och vid utlämnande av dessa ur personregistret tillämpas bestämmelserna i personuppgiftslagen, såvida inte utlämnande regleras särskilt i någon annan lag. Utlämnande kan främst grunda sig på den berörda personens samtycke eller på en rätt som uttryckligen anges i lag (3 1 mom. 7 punkten och 8 PuppL). Ett fotografi som ingår i en myndighets personregister kan utlämnas, om mottagaren har rätt enligt personuppgiftslagen att samla in och använda de erhållna personuppgifterna (8 4 mom. PuppL och 16 3 mom. offentlighetslagen). Om personuppgifter som ingår i en myndighets personregister läggs ut på den registeransvariges webbplats betraktas detta som elektroniskt utlämnande av personuppgifter (se avsnitt 7). I praktiken innebär detta att personuppgifter som ingår i ett personregister, såsom bilder, i regel kan publiceras på en webbplats endast med personens samtycke. Så till exempel kan eventuella fotografier som införts i lärarregistret för en kommunal läroinrättning (personaladministrativt register) i regel publiceras på skolans webbplats endast med lärarnas samtycke, såvida inte publiceringen av bilderna grundar sig på en särskild arbetsuppgiftsrelaterad orsak enligt 8 1 mom. 8 punkten i personuppgiftslagen. Om ett fotografi som ingår i ett personregister måste betraktas som en sekretessbelagd uppgift enligt lag, kan fotografiet utlämnas endast om den registrerade ger sitt samtycke därtill, såvida inte utlämnande grundar sig på en uttrycklig bestämmelse i lag. 5. Om kriterierna för en juridisk bedömning av ett fotografi I rättslitteraturen har bl.a. kriterierna för en persons identifierbarhet, beskärningen av en bild samt fotograferingssituationen fastställts som utgångspunkter för den juridiska bedömningen av bilder (Mikko Hoikka, Oikeus omaan kuvaan, Turun yliopiston oikeustieteellisen tiedekunnan jul-

7 kaisuja, 2004, sid. 6 7). Av central betydelse vid bedömningen och bestämmandet av påföljder, i synnerhet ur ett straffrättsligt bedömningsperspektiv (se avsnitt 8), är också bildens kränkande karaktär. En person som förekommer på en bild har med stöd av de integritetsskyddande bestämmelserna dels rätt att förbjuda att en kränkande bild används, dels rätt till skadestånd på grund av att dylika bilder använts. Det är givetvis enormt svårt att objektivt bestämma om en bild är kränkande eller inte, eftersom olika företeelser kan uppfattas väldigt olika på ett subjektivt plan liksom också är fallet med integritetsskydd i allmänhet. Av de ovan nämnda kriterierna för bedömning av bilder skall identifierbarheten betraktas som primärt kriterium. Om en person på en bild inte kan identifieras till exempel bland en stor grupp människor eller på grund av bildens ålder, finns det ingen grund för bedömning av personens integritetsskydd. Datasekretessnämnden har i sitt beslut 13/ genom avgränsning av identifieringskriteriet konstaterat att till exempel flera tiotals år gamla gruppfoton, i samband med vilka inga namnuppgifter nämns, inte kan anses avslöja personuppgifter, eftersom möjligheten till identifierbarhet saknas. Följaktligen tillämpas personuppgiftslagen inte till exempel i fråga om dylika fotografier. Även beskärningen av en bild kan i vissa specialfall ges en betydelse som är jämförbar med bildens identifierbarhet, men ett juridiskt sett väsentligare kriterium som bör beaktas, i synnerhet när det gäller att bedöma eventuella fall av integritetskränkning, är fotograferingsförhållandenas och fotograferingssituationens karaktär. Faktorer som kan vara av betydelse är till exempel att personen på bilden varit berusad eller betett sig på ett sätt som avviker från det normala (Hoikka, sid ). Integritetsskyddet gäller lika väl på offentliga platser. Å andra sidan har en offentlig plats med avseende på fotografering ansetts erbjuda och erbjuder fortfarande friare möjligheter till fotografering än miljöer som omfattas av hemfrid. Utöver dessa bedömningskriterier bör också bildens kontext, dvs. sammanhang, lyftas fram som ett kriterium som är ägnat att definiera om en bild är kränkande eller inte. Om en bild kopplas till en negativ kontext kan det leda till att bilden kan tolkas som integritetskränkande även om den i övrigt måste anses som godtagbar, varvid användningen av bilden kan orsaka personen på bilden skada och lidande. I detta avseende kan också allmänhetens uppfattning om bilden och dess kontext anses vara ett beaktansvärt kriterium vid den juridiska bedömningen i frågan (Hoikka sid ). Dessa riktgivande bedömningskriterier, som är avsedda att fungera som hjälpmedel i tolkningsfrågor, är viktiga i synnerhet vid straffrättsliga bedömningar av integritetskränkning, men de kan också vara till hjälp när det gäller att bedöma om det ovan nämnda kravet att behandlingen skall vara sakligt motiverad enligt 6 i personuppgiftslagen uppfyllts. 6. Undantag från tillämpningen av personuppgiftslagen Såsom ovan konstaterats nämner personuppgiftslagen ett antal undantagsfall, i vilka personuppgiftslagen inte tillämpas som sådan. För det första gäller bestämmelserna i personuppgiftslagen inte behandling av personuppgifter som en fysisk person utför uteslutande för personliga eller därmed jämförbara sedvanliga privata syften (2 3 mom. PuppL). Denna begränsning i fråga om tillämpningsområde kan anses vara relativt viktig när det gäller användningen av fotografier, eftersom all privat förevisning av fotografier och till exempel lagring av digitalbilder på ens privata dator faller utanför lagens tillämpningsområde. EG-domstolen har dock gett ett förhandsavgörande som på ett väsentligt sätt preciserar lagrummet och noggrannare definierar personuppgiftslagens tillämpningsområde. I målet C 101/01, Bodil Lindqvist, , kon-

8 staterade EG-domstolen att publicering av personuppgifter på internet aldrig uppfyller förutsättningarna för undantaget i fråga, dvs. att samtliga bestämmelser i personuppgiftslagen tillämpas också när det gäller publicering av fotografier på internet. En mobilkamera är ett verktyg med hjälp av vilket personuppgifter kan behandlas på olika sätt, till exempel insamlas, utlämnas, överföras m.m. Följaktligen är det syftet bakom behandlingen av mobilkamerabilderna som avgör vilken lag som skall tillämpas. Om bilder samlas in till exempel i försäljningssyfte, kan det vara fråga om sådan behandling av personuppgifter som avses i personuppgiftslagen. Det kan också vara fråga om ett redaktionellt syfte som faller utanför personuppgiftslagens tillämpningsområde, om personen eller företaget arbetar för ett massmediums räkning. En annan grund för undantag som nämns i personuppgiftslagen gäller i massmedier publicerat material som sådant (2 4 mom. PuppL); personuppgiftslagen tillämpas inte på material som innehåller till exempel enbart tidningsurklipp som sådana, även om de skulle inkludera fotografier av personer som kan identifieras. Däremot tillämpas lagen i det fall att urklippen införs i ett egentligt personregister. Som ett tredje undantag kan nämnas att också sådan behandling av personuppgifter som utförs för redaktionella samt konstnärliga eller litterära syften faller utanför lagens tillämpningsområde till de delar som anges i 2 5 momentet i personuppgiftslagen. Med andra ord gäller personuppgiftslagen bara till vissa delar (t.ex. skyddskravet) sådan behandling av fotografier där fotografier används till exempel som material i en tidning eller nätpublikation, dvs. i redaktionellt syfte. Syftet med denna grund för undantag är att den för sin del tillgodoser yttrandefriheten, och detta gäller även då yttrandefriheten utövas med visuella medel. När det gäller publicering av bilder på internet kan det i detta sammanhang vara fråga om utövande av yttrandefrihet i datanät, vilket i sin tur avgör lagtillämpningsfrågan. Enligt 2 1 mom. 6 punkten i lagen om yttrandefrihet i masskommunikation (460/2003) avses med nätpublikation en i likhet med periodiska publikationer enhetligt uppbyggd helhet av nätmeddelanden avsedd för regelbunden utgivning, där materialet har producerats eller bearbetats av utgivaren. De kriterier som ställs för internetsidor i bestämmelsen i fråga uppfylls oftast inte när det gäller vanliga webbplatser. Vid en juridisk bedömning av material som ingår i webbplatser, såsom fotografier, skall frågan alltid bedömas också utgående från bestämmelserna i personuppgiftslagen. Om det inte är fråga om ett redaktionellt syfte skall behandlingen av personuppgifter på nätet basera sig på en i 8 i personuppgiftslagen avsedd grund, vilket i praktiken endast kan innebära den registrerades samtycke. I undantagsfall kan grunden bero på en uttrycklig bestämmelse i lag. Under vissa förutsättningar kan också 8 1 mom. 8 punkten i personuppgiftslagen berättiga till behandling av personuppgifter (uppgifter om offentlig ställning, t.ex. tjänsteställning och namn). Det är skäl att betona att även om bestämmelserna i personuppgiftslagen i ovan nämnda undantagsfall inte skulle innehålla bestämmelser om förfarande för att trygga integriteten, skyddas integriteten för en person på ett fotografi alltid av bestämmelserna i strafflagen (se avsnitt 8). Därtill är det också viktigt att komma ihåg de förmögenhetsrättsliga bestämmelser som gäller om fotografier och som inte har något som helst samband med personuppgiftslagens tillämpningsområde. 7. Fotografier och internet På grund av vad som konstaterats ovan skall överföring av fotografier till internet juridiskt

9 sett oftast bedömas utifrån personuppgiftslagen, om inte annat följer av en bestämmelse i någon speciallag som inte behandlas här eller av något lagligt specialsyfte (t.ex. efterlysning av försvunnen person). (Enligt 8 1 mom. 3 punkten i personuppgiftslagen får personuppgifter behandlas i ett enskilt fall om det är nödvändigt för att skydda den registrerades vitala intressen.) Alla som planerar att publicera fotografier på internet skall i sin egen verksamhet sörja för att integritetsskyddet för personerna på fotografierna tillgodoses tillräckligt. Den som behandlar fotografier måste i enlighet med 6 i personuppgiftslagen själv bedöma i varje specialfall om lagen skall tillämpas och om dels kravet att användningen av bilderna skall vara sakligt motiverad, dels villkoret att personerna på bilden är identifierbara uppfylls samt, utgående från dessa, om det är nödvändigt att begära personernas samtycke enligt 8 1 mom. 1 punkten och 3 7 punkten i personuppgiftslagen (se avsnitt 3). Av ovan sagda följer att publicering av personuppgifter som ingår i ett personregister, såsom fotografier, på internet förutsätter på basis av personuppgiftslagen och 16 3 mom. i offentlighetslagen att den registrerade gett sitt samtycke därtill, såvida inte någon lag innehåller en grund som uttryckligen ger rätt till utlämnande av uppgifter och behandling av personuppgifter på internet. Om det är fråga om en situation där bilder inte utlämnats från ett personregister, måste grunden för behandlingen av bilderna på internet (lagring och användning) bedömas utifrån personuppgiftslagen eller någon annan lag. Enligt personuppgiftslagen är det i allmänhet i praktiken möjligt att behandla uppgifterna endast med den berördas samtycke. Om det är fråga om medieverksamhet (en nättidning), faller uppgiftsbehandlingen på basis av 2 i personuppgiftslagen utanför personuppgiftslagen. På identifierbarheten inverkar också om namnuppgifterna på de personer som finns på bilderna fogas till bilderna; om så är fallet skall personuppgiftslagen definitivt tillämpas med tanke på identifierbarheten. Dataombudsmannen har i sitt ställningstagande 2/452/ som en allmän rekommendation angående publicering av fotografier på internet konstaterat att i enlighet med principen om självbestämmanderätt, som antagits som bärande princip för personuppgiftslagen, bör man alltid sträva efter att begära den berörda personens samtycke i alla sådana situationer där det finns minsta misstanke om att integritetsskyddet kan äventyras. I fråga om fotografier har personuppgiftslagen praktisk betydelse också när det gäller att använda internet som informationskälla. Det är inte automatiskt tillåtet att samla in fotografier på identifierbara personer direkt från internet. I den här typen av verksamhet kan personuppgiftslagen bli tillämplig, varvid den som samlar in fotografierna betraktas som registeransvarig, om de förutsättningar för tillämpning som anges i 2 kapitlet i personuppgiftslagen uppfylls. För den registeransvarige gäller då de förpliktelser och ansvar som anges i lagen. Förfarandets lagenlighet kan komma att bedömas också på basis av någon annan lag. 8. Bestämmelser i strafflagen som skyddar integriteten och användningen av fotografier Det finns bestämmelser i lag om straffrättsliga påföljder av förseelse mot de förpliktelser som anges i personuppgiftslagen, dvs. av personregisterbrott (38 kap. 9 strafflagen) och personregisterförseelse (48 personuppgiftslagen). Det straffrättsliga skyddet begränsar sig dock inte till personuppgiftslagen. Tillgodoseendet av integritetsskyddet när det gäller användning av bilder tryggas helt oberoende av bestämmelserna i personuppgiftslagen också av bestämmelserna i strafflagen. I 24 kapitlet i strafflagen (531/2000) framställs bl.a. både spridande av infor-

10 mation som kränker privatlivet (8 ) och ärekränkning av en person på bild (9 10 ) som straffbara gärningar. Enligt 24 kapitlet 8 i strafflagen kan den som obehörigen framför en bild som gäller någons privatliv genom ett massmedium eller genom att på något annat sätt göra bilden tillgänglig för ett stort antal människor så att gärningen är ägnad att orsaka skada eller lidande för den kränkte eller utsätta honom eller henne för missaktning dömas till böter eller fängelse i högst två år (1 mom.). Som spridande av information som kränker privatlivet anses dock inte framförande av en bild som gäller en sådan persons privatliv som verkar inom politiken, näringslivet, i en offentlig tjänst eller i ett offentligt uppdrag eller i något annat med dessa jämförbart uppdrag, om bilden kan påverka bedömningen av personens förfarande i nämnda uppdrag och framförandet behövs för behandlingen av någon samhälleligt betydelsefull sak (2 mom.). Paragraferna om ärekränkning (9 ) och grov ärekränkning (10 ) i 24 kapitlet i strafflagen kan också användas i sådana fall där ett fotografi har använts på ett osakligt sätt så att det orsakar skada och lidande för den kränkte eller så att personen på fotografiet på något annat sätt har utsatts för missaktning. Såsom det konstateras i detaljmotiveringen i regeringspropositionen om lagrummet i fråga (RP 184/1999) kan det vara fråga om ärekränkning också i det fall att en bild innehåller en ärekränkande uppgift eller antydan. Det att fotografering och användning av ett fotografi kan betraktas som en straffbar gärning kan också bero på själva fotograferingssituationen. Enligt 24 kapitlet 6 i strafflagen, som gäller olovlig observation, skall den som obehörigen med en teknisk anordning 1) iakttar eller avbildar en person som vistas på en hemfridsskyddad plats eller på en toalett, i ett omklädningsrum eller på någon annan motsvarande plats, eller 2) på ett integritetskränkande sätt iakttar eller avbildar en person som vistas i ett ämbetsverk, en affärslokal, ett kontor, en produktionsinrättning, en möteslokal eller någon annan motsvarande lokal eller byggnad eller på ett omgärdat gårdsområde dit allmänheten inte äger tillträde, skall för olovlig observation dömas till böter eller fängelse i högst ett år. Också försök är straffbart. De kriterier som specificeras i avsnitt 5 kan fungera som riktlinjer för dels bedömningen av om rekvisiten enligt ovan nämnda bestämmelser i strafflagen är uppfyllda, dels bedömningen av graden av uppsåt. Förutom straffrättsliga påföljder har det också fogats en bestämmelse om skadeståndsskyldighet till personuppgiftslagen. I 47 i lagen konstateras följande: Den registeransvarige är skyldig att ersätta den ekonomiska skada eller annan skada som tillfogats den registrerade eller någon annan person av att personuppgifter har behandlats i strid med denna lag. I fråga om skadeståndsskyldighet gäller i övrigt vad som bestäms i 2 kap. 2 och 3, 3 kap. 4 och 6 samt 4, 6 och 7 kap. skadeståndslagen (412/1974). 9. Andra juridiska frågor i anslutning till fotografier I rättslitteraturen, sett ur ett förmögenhets- och immaterialrättsligt perspektiv, har personens samtycke ansetts vara en förutsättning för att en bild får användas, i synnerhet när en bild skall användas i kommersiellt syfte (se t.ex. Mikko Hoikka, Oikeus omaan kuvaan, Turun yliopiston oikeustieteellisen tiedekunnan julkaisuja, 2004). Angående detta perspektiv kan, även om det inte hör till dataombudsmannens behörighet, som en allmän vägledning snävt konstateras att kommersiellt utnyttjande av bilder t.ex. i reklam- och marknadsföringssyfte har i rättspraxis ansetts ge personen på bilden rätt till ekonomisk kompensation (t.ex. högsta domstolens avgöranden HD 1982 II 36 och HD 1989:62). I övrigt är det inte möjligt att i detta sammanhang gå in på upphovsrättslagstiftningen, som vid sidan om personuppgiftslagstiftningen på ett centralt sätt inverkar på användningen av fotografier. I upphovsrättsfrågor är det upphovsrättsrådet som ger information och utlåtanden om användningen av fotografier. Upphovsrättsrådet lyder under un-

11 dervisningsministeriet. Angående upphovsrätter kan dock ännu allmänt konstateras att när det gäller enbart informationsförmedling och till exempel nyhetsanvändning anses inte de ovan nämnda förmögenhetsoch immaterialrättsliga rättigheterna begränsa rätten att använda en bild. Integritetsskyddet skall däremot alltid beaktas också när bilder används för detta syfte (regleras i strafflagen), även om användningen av personuppgifter i redaktionellt syfte på det sätt som anges ovan faller utanför personuppgiftslagens tillämpningsområde. Dataombudsmannens byrå har sammanställt en separat anvisning om bildinspelning som sker genom kameraövervakning: Integritetsskydd vid kameraövervakning. Alla anvisningar vilka getts ut av dataombudsmannens byrå och till vilka det hänvisas i denna broschyr finns tillgängliga på dataombudsmannens byrås webbplats på adressen Personuppgiftslagen med alla dess paragrafer till vilka det hänvisas i denna broschyr finns i sin helhet i Statens författningsdatabank på adressen

12 Bilaga, sid. 1 DATAOMBUDSMANNENS STÄLLNINGSTAGANDEN OM ANVÄNDNINGEN AV FOTOGRA- FIER OCH INTEGRITETSSKYDDET Exempel ur arbetslivet: I arbetslivet har det i praktiken uppstått ett flertal praktiska tillämpningar och specialfall som gäller användningen av fotografier. Vid behandlingen av personuppgifter som berör en arbetstagare tillämpas dels personuppgiftslagen som allmän lag, dels lagen om integritetsskydd i arbetslivet som speciallag (759/2004). I 3 i denna lag om dataskydd i arbetslivet konstateras följande: Arbetsgivaren får behandla endast sådana personuppgifter som har direkt relevans för arbetstagarens arbetsavtalsförhållande och som har att göra med hanteringen av rättigheter och skyldigheter för parterna i arbetsavtalsförhållandet eller med de förmåner arbetsgivaren erbjuder arbetstagarna eller med arbetsuppgifternas särskilda natur. Bestämmelserna i lagen är av tvingande natur, och avvikelser från relevanskravet kan inte göras med arbetstagarens samtycke (2 mom.). Dataombudsmannen har i sitt avgörande 497/41/ ansett att intern och extern information som berör arbetsgivarens verksamhet uppfyller det krav om saklig motivering som nämns i 6 i personuppgiftslagen. Utifrån denna grund har dock konstaterats att om det hör till arbetstagarens skyldigheter att till exempel vara identifierbar eller anträffbar på basis av uppgifter om tjänstebenämning, kontaktinformation till arbetet och fotografi, finns det, inte heller på basis av 3 i lagen om integritetsskydd i arbetslivet, inget juridiskt hinder för att publicera ett fotografi av arbetstagaren och dessa uppgifter på internet eller i en särskild tryckt publikation. Arbetsgivaren skall dock alltid omsorgsfullt begrunda och motivera vilka arbetstagares fotografier, uppgifter om tjänstebenämning och kontaktinformation som behöver läggas ut på internet och varför. Dataombudsmannen har särskilt rekommenderat att företag som publicerar fotografier av sina anställda på internet också planerar och genomför metoder för att säkerställa att inte fotografier eller andra uppgifter om personer som avgått från företagets tjänst lämnas kvar på internet. Dataombudsmannen har i sitt ställningstagande 1865/452/ preciserat detta tolkningssätt genom att i enlighet med 3 i lagen om integritetsskydd i arbetslivet anse att arbetsgivaren också får använda ett fotografi av en anställd i en företagsbroschyr, om fotografiet i företagsbroschyren måste betraktas som en personuppgift som har direkt relevans för arbetstagarens arbetsavtalsförhållande och som har att göra med hanteringen av rättigheter och skyldigheter för parterna i arbetsavtalsförhållandet eller med de förmåner arbetsgivaren erbjuder arbetstagarna eller om behovet att behandla fotografiet beror på arbetsuppgifternas särskilda natur. Därtill har dataombudsmannen i anslutning till samma ärende konstaterat att frågan om upphovsrätten till ett fotografi faller utanför dataombudsmannens behörighet. Arbetstagaren har i samband med fotografering rätt att få veta för vilket syfte fotografiet skall användas (4 lagen om integritetsskydd i arbetslivet, 24 personuppgiftslagen). I sitt ställningstagande 32/41/ har dataombudsmannen rekommenderat att om en arbetsgivare har för avsikt att använda tidigare tagna fotografier av sina anställda för ett annat ändamål, skall personalen informeras om detta. Dessutom bör alla som vill också ges möjlighet att bli fotograferade på nytt. I ovan nämnda fall skall uppmärksamhet fästas vid att de allmänna förutsättningarna för behandling av personuppgifter uppfylls, liksom även den upplysningsplikt som anges i 24 i personuppgiftslagen. Den sistnämnda bestämmelsen förutsätter bland annat att arbetstagaren skall informeras om denna typ av utlämnande av uppgifter.

13 Bilaga, sid. 2 Exempel inom hälso- och sjukvårdens registerföring, släktforskning, skolvärlden samt organiseringen av idrottstävlingar: I dataombudsmannens avgöranden har upprepade gånger konstaterats att fotografier som införts i hälso- och sjukvårdens register måste betraktas som sådana personuppgifter som avses i personuppgiftslagen och på vilka personuppgiftslagen i sin helhet skall tillämpas. Till exempel i dataombudsmannens utlåtande till riksdagens justitieombudsman om ett klagomål som gällde ett mentalsjukhus för fångar ansågs att de fotografier av sjukhusets patienter som hade fogats till sjukjournalerna var personuppgifter. Fotografier som införts i ett släktforskningsregister är också personuppgifter enligt definitionen i personuppgiftslagen (3 1 punkten) till den del de föreställer levande människor eller om en person på ett fotografi lätt kan kopplas till hans eller hennes barn som är i livet; i enlighet med detta har datasekretessnämnden i sitt beslut 3/ konstaterat att personuppgifter per definition även innefattar uppgifter som berör en död person och att syftet med lagen är att skydda inte bara personen själv utan också hans eller hennes minne och anhöriga. För användningen av fotografier som en del av släktforskning gäller i regel alltså samma bestämmelser i lag som för andra personuppgifter. Angående frågan om en skola får publicera fotografier av eleverna på sin webbplats har dataombudsmannen i sitt ställningstagande 1567/41/2003 konstaterat att fotografier i dylika fall får publiceras på internet endast med elevens eller dennes vårdnadshavares entydiga samtycke. I en skolgemenskap kan ett fotografi ganska enkelt kopplas till en bestämd elev även om inte elevens namn anges. Konsumentverket har gett ut anvisningar med rubriken Fotografering i skolor och daghem. I anvisningarna behandlas frågan med beaktande av konsumentskyddslagens bestämmelser om marknadsföring och avtalsvillkor. Anvisningarna finns tillgängliga på konsumentverkets webbplats på adressen Dataombudsmannens ställningstagande 434/452/ gällde frågan om fotografier på personer som deltagit i en idrottstävling får publiceras på internet och marknadsföras så att de kan beställas separat med hjälp av en söktjänst på internet. I ställningstagandet konstaterades att tävlingsarrangörens rätt att behandla tävlingsdeltagarnas personuppgifter grundade sig på att kravet på saklig anknytning enligt 8 1 mom. 5 punkten i personuppgiftslagen uppfyllts. Eftersom den tjänst med vilken tävlingsdeltagarna erbjöds möjlighet att bli fotograferade i samband med sin idrottsprestation kunde anses uppfylla den särskilda förutsättning som ställs för utlämnande av personuppgifter i 2 momentet i samma lagrum, ansågs behandlingen av fotografierna i nämnda syfte vara förenlig med personuppgiftslagen. Dataombudsmannen förutsatte dock att tävlingsarrangören ser till att de registrerade informeras om ett sådant utlämnande av personuppgifter. Vidare konstaterades att skyldighet förelåg att man i samband med insamlande av anmälningar begär personernas samtycke till att personuppgifter publiceras på internet.