Framsida » Avgöranden » Sk. svarta listor på föreningars hemsidor i internet-datanätet

Sk. svarta listor på föreningars hemsidor i internet-datanätet

2006

Beskrivning av ärendet:

Dataombudsmannen ombads utreda huruvida den av föreningen Y rf uppgjorda och på deras hemsidor uppställda listan över kärnkraftsmotståndare var lagenlig. I samband med listan fanns även en uppmaning att låta bli att använda de på listan nämnda personernas tjänster. De som gjorde ärendet anhängigt ansåg bl.a. att genom Y:s och dess funktionärers publicerande av den sk. svarta listan kränktes medborgarrättigheter samt tillfördes skada för de berördas verksamhet och rykte som sakkunniga, näringsidkare och medborgare.

Föreningen Y ansåg att publiceringen av den sk. svarta listan skedde på basis av kända personers motstånd till kärnkraft eller frivillig anmälan till listan. Därutöver hade namn samlats ur tidningars kostnadsbelagda annonser, där även person x:s namn fanns med. Syftet hade varit att visa att personerna redan i åratal hade varit aktiva motståndare av kärnkraft.

Enligt Y är publicering av listan en nödvändig del av föreningens verksamhet, eftersom detta är motiverat för föreningens grundsyfte bl.a. för att kunna försöka få den allmänna opinionen mer kärnkraftsvänlig.

Dataombudsmannens svar:

Dataombudsmannen anser att behandlingen av personuppgifterna i den sk. svarta listan som publicerats på Y:s hemsidor inte är i i enlighet med personuppgiftslagens 5, 6, 8, 24, och 36 § och inte heller med dataskyddsdirektivets mål och stadgor. Därför uppmanar dataombudsmannen med hänvisning till 40 § föreningen att inom utsatt tid från den sk. svarta listan på hemsidan radera namnen på i varje fall de personer som inte har betts om samtycke och även annars upphöra med behandlingen av personuppgifterna. I annat fall för dataombudsmannen ärendet till datasekretessnämndens behandling.

EU:s arbetsgrupp för dataskydd har 3.10.2002 godkänt ett arbetsdokument, i vilket har konstaterats bl.a. att en persons rätt till dataskydd är en i artikel 8 i konventionen för mänskliga rättigheter och grundläggande friheter föreskriven rättighet. Denna finns även i EU:s grundläggande rättighetsföreskrifter och om detta har stadgats i direktiv angående dataskydd 95/46/EU och 2002/58/EU.

I arbetsdokumentet har konstaterats att det vid svarta listor är fråga om insamlande och överlåtelse av uppgifter av speciell karaktär angående en specifik grupp eller specifika personer. Dessa listor framställs av speciella skäl och de har negativa och skadliga följder för de registrerade personerna.

Personuppgiftslagen och förutsättningarna för behandling av personuppgifter

Förteckningen och bakgrundsinformationen som finns på Y:s hemsidor bildar ett personregister. Dessa behandlas gemensamt automatiskt i enlighet med deras användningsändamål. Undantagen för tillämpningen av lagen kommer inte i fråga, eftersom personuppgifterna i listan i varje fall inte till alla delar består av sådant material som publicerats i massmedierna. Det handlar inte heller om redaktionella eller konstnärliga eller litterära syften. Därutöver skall beaktas, att föreningens hemsida inte uppfyller de i lagen(460/2003) förutsatta kraven för nätpubliceringar.

Stadgarna om behandling av känsliga personuppgifter kommer inte att tillämpas eftersom åsikter angående kärnenergi är en åsikt i ett enskilt ärende mer än en yttring av medborgerlig ståndpunkt. I detta fall kan inte heller tyngd sättas på att flera av dem på den "svarta listan" själva har uttryckt åsikten om kärnkrafts motstånd. I det fall att en yttring av medborgerliga åsikter skulle leda till ofrivillig registrering, skulle detta begränsa medborgarnas åsikts frihet och skulle därmed vara i strid med personuppgiftslagens syfte och mål.

Allmänna förutsättningar för behandling av personuppgifterna har föreningen inte heller. Speciellt skall uppmärksamhet fästas vid att de registrerade personerna inte är medlemmar eller kunder eller i annat liknande förhållande till föreningen som verkar som registerförare, varpå det i lagen ämnade och för registrering utsatta sambandskravet inte uppfylls.

Personuppgifter kan behandlas då det gäller personens ställning, verksamhet och deras ställning inom den offentliga sektorn samt uppgifter som behandlar näringslivet och dessa behandlas för att skydda registerförarens eller en utomståendes rättigheter och skyldigheter. Åtminstone inte i alla delar kan dessa krav anses vara uppfyllda, eftersom det inte i vart fall kan anses handla om tidigare nämnd "skötsel" eller dylika beskrivna åsikter utan i detta fall handlar ärendet om åsikter.

För behandlingen av personuppgifter krävs vägande skäl från registerförarens verksamhets sida och bl.a. för det vart uppgifterna i regel överlåts. Före uppgifterna samlas in och bildar ett personregister skall processen planeras och definieras. Med publiceringen av listan försöker registerföraren, så som även namnet på listan hänvisar till, att avstyra eller påverka de registrerades yrkesverksamhet och/eller näringsverksamhet vilket inte kan anses vara i enlighet med "motiverad grund". Sammanställande av listan på föreningens initiativ kan inte heller här anses stå i enlighet med de av personuppgiftslagen ställda kraven.

Listan som i detta fall är anhängig innehåller även namn på personer som deltagit i besluten angående kärnkraft. För att bilda medborgarliga opinioner är det nödvändigt att liknande åsikter yttras för att demokratin skall kunna förverkligas varpå dataombudsmannen inte på något sätt vill hindra att sådana åsikter kommer i offentligheten heller på internet. Bara på basis av åsikten angående kärnkraftsenergi kan man ändå inte ta ställning till personers politiska övertygelse, varpå listan inte bildar en förtäckning över känsliga personuppgifter. En beslutsfattande politikers åsikt är ändå i en annan ställning än en persons som endast yttrar allmänna medborgerliga åsikter.

Personuppgifter får endast användas eller annars behandlas på ett sätt som inte står i strid med det planerade behandlingsändamålet. Utav nämnda lagbestämmelser följer bl.a. att det inte finns förutsättningar i personuppgiftslagen för spridning av ett register i ett öppet datanät, även om man, i strid med dataombudsmannens uppfattning, skulle anse det föreligga allmänna förutsättningar för registerföring också för sådana personers del som inte har gett sitt samtycke. Då personregister p.g.a. öppenheten i datanät kan komma till kännedom för vem som helst och kan komma till dennas behandling, kan registerföraren inte längre ansvara för personregistrets lagenlighet på ett korrekt sätt, och för vad personuppgifterna används till.

Tillämplig internationell rättspraxis

Europeiska gemenskapens domstol har i sin dom 6.11.2003 C-101/01 definierat tillämpningen av EG 95/46/EU dataskyddsdirektivet i förhållande till bl.a. personuppgifters automatiska behandling. I denna dom ansåg gemenskapens domstol att behandlingen av de ifrågavarande personuppgifterna skulle anses vara helt eller delvis automatiserad behandling av personuppgifter och därmed tillämplig inom ramen för det ovannämnda direktivet.

Europeiska människorättsdomstolen (EMD) har i flera fall tagit ställning till skyddet av privatlivet på ett sätt som kraftigt skyddar integritet och åsikts yttrande bl.a. vid yrkesutövningsärenden samt andra fall så som det ifrågavarande. Till exempel i fallet von Hannover mot Tyskland 24.6.2004 EMD konstaterar domstolen att Europeiska människorättskonventionens 8 artikel inte endast förpliktar stater att hålla sig från att egenmäktigt ingripa i privatlivet utan skäl kan även förekomma till att staten skall vidta åtgärder för att trygga privatlivet t.o.m. i fall mellan privatpersoner. I samma fall konstaterar domstolen vidare att fastän offentliga personers integritet i vissa fall är mycket begränsat så kan detta tillämpas endast på personer i offentlig tjänst men inte på privatpersoner.

Spelrummet som uppkommer mellan balansen bland de olika grundrättigheterna av internationella avtal har i Finland åtgärdats genom grundlag och t.ex. i fråga om yttrandefrihet en lag om yttrandefrihet i masskommunikation, vilken i det föreliggande fallet inte är tillämplig. Behandlingen av personuppgifter har stadgats om så som tidigare nämnts i personuppgiftslagen. I det fall att uppgifterna behandlas i datanätet, skall det finns en laglig grund för behandlingen, vilket som utgångspunkt i liknande fall (med de tidigare nämnda undantagen) endast kan uppkomma då personen själv gett sitt samtycke.

Tillämplig lag:

Personuppgiftslagen: 2 § 2 mom., 3 § 1 mom. 3p., 5, 6, 7, 8, 11 § 1 mom. 4 p., 24 och 36 §

 
Publicerad 6.2.2014