Mitt i sommarhettan och hundgenetiken dimper Datainspektions svar på en fråga ner. Frågan kommer först, för den som har glömt bakgrunden.
Försöker på
förekommen anledning sätta mig in i konsekvenserna av GDPR avseende
möjligheter till konsumentinformation. Vore mycket tacksam för era
synpunkter!
Bakgrund: en
person, X, med stort kunnande och intresse för aveln med renrasiga
hundar publicerar sedan länge regelbundet en lista över alla nya
valpkullar inom en viss ras. Listorna publiceras i en sluten
fb-grupp, där alla medlemmar givetvis är fysiska personer.
Privatpersoner - inte företag. Listan omfattar namn på den
uppfödande kenneln - enbart kennelnamnet, kennelägarens/uppfödarens
personuppgifter och kontaktuppgifter nämns inte. Vidare redovisas
uppgifter om valparnas födelsedatum, antal valpar. Vidare redovisas
uppgifter hämtade från Svenska kennelklubbens offentligt åtkomliga
uppgifter på datasamling Hunddata, åtkomlig för alla som känner
till den, inklusive valpkullens s k HD-index (baserat på uppgifter
om föräldradjurens och deras släktingars höftledsstatus vid
röntgen) samt motsvarande uppgifter, MI (mentalitetsindex) baserat
på föräldradjurens och deras släktingars resultat vid officiell s
k mentalbeskrivning av hund, MH. Inga kommentarer eller omdömen -
varken av positiv eller negativ karaktär - om valparna, val av
föräldradjureller liknade, ingår.
Dessa listor
uppskattas av bl a personer, som letar efter valp av denna ras.
Följande har nu
inträffat. En person hotar i otvetydiga ordalag med både
polisanmälan och dryga väntande böter för X med motiveringen att
listorna över kullar är ett brott mot GDPR. Anledningen anges vara
dels att personen som äger kenneln lätt kan hittas via kennelnamnet
och indirekt identifieras. Dels att uppgifterna om födda valpar i
rasen skrivs ut i denna slutna fb-grupp utan att varje uppfödares
godkännande inhämtats i förväg. Ytterligare en person hotar med anmälan - oklart var, polisen igen? - om valpuppgifter
från hens kennel omnämns någonstans utanför Svenska
Kennelklubbens sidor, även denna gång med hänvisning till GDPR.
Min tolkning är
att detta är orimligt. Varje person med kennelnamn, varje person med
eller utan kennelnamn som ägnar sig åt att föda upp hundar för
försäljning till allmänheten, är en näringsidkare. I sakens
natur ligger då, att personens namn är åtkomligt för den
intresserade, f f a för blivande valpköpare. Kennelägarens hemsida
med personnamn, telefonnummer och mailadress inhämtas lika lätt via
Svenska Kennelklubbensolika sidor som via denna lista över födda
valpkullar. Om en intresserad privatperson inte kan lägga ut
uppgifter av den art som en lista över födda valpkullar innehåller
( och som är åtkomliga för intresserade och insatta personer på
andra delar av nätet), innebär det en begränsning av
möjligheten att informera potentiella konsumenter. Jag undrar också,
om det inte innebär en begränsning av yttrandefriheten
Vad
svarar Datainspektionen? Vad gäller i detta konkreta exempel?
M
v h
Bodil
Carlsson
Här har ni svaret.
Hej Bodil,
Datainspektionen kan endast lämna
bindande besked inom ramen för vår tillsynsverksamhet, men vi kan
ge allmän vägledning när det gäller regler om dataskydd.
GDPR:s tillämpningsområde
Dataskyddsförordningen gäller
för behandling av personuppgifter. Med personuppgifter avses varje
upplysning som avser en identifierad eller identifierbar fysisk
person. Avgörande är att uppgiften, enskilt eller i kombination med
andra uppgifter, kan knytas till en levande person. Typiska
personuppgifter är personnummer, namn och adress. Bilder på och
ljudupptagningar av individer som behandlas i dator kan vara
personuppgifter även om inga namn nämns. Uppgifter om hundar och
kennelklubbar är alltså inga personuppgifter om de inte
direkt/indirekt kan knytas till en fysisk person.
Rättslig grund:
När man behandlar personuppgifter
blir dataskyddsförordningen tillämplig. Att använda sociala medier
och där exempelvis skriva om andra, publicera foton, filmer m.m. är
en form av personuppgiftsbehandling. All personuppgiftsbehandling
måste ske i enlighet med förordningen. Detta innebär bl.a. att
personuppgiftsbehandlingen måste ha en rättslig grund (t.ex.
samtycke eller intresseavvägning). Det är den
personuppgiftsansvarige som måste göra bedömningen av vilken
rättslig grund som är aktuell i det enskilda fallet. Enligt GDPR
finns inget absolut krav att man måste ha ett samtycke* från
de personer som exempelvis finns på ett foto/lista innan detta
publiceras. Intresseavvägning (en behovsavvägning av de olika
intressen) är den rättsliga grund som oftast blir aktuell när man
publicerar personuppgifter i sociala medier. Den registrerade har
dock rätt att göra en invändning och då måste den
personuppgiftsansvarige göra en ny intresseavvägning för att se
vilket intresse väger tyngst. Om den enskildas rätt till personlig
integritet väger tyngst ska personuppgiftsbehandlingen upphöra.
Här kan du
läsa mer om de rättsliga grunderna:
https://www.datainspektionen.se/lagar--regler/dataskyddsforordningen/rattslig-grund/
Facebook:
När det gäller sociala medier är
det viktigt att känna till att dels kan den som gör en publicering
anses vara personuppgiftsansvarig, dvs. ansvara för en publicering,
dels kan den organisation som har en sida vara ansvarig för det som
andra publicerar, om organisationen har möjlighet att
påverka/bestämma över inläggen.
Den 5 juni i år
meddelade EU-domstolen en dom som rörde an administratör för en
Facebook sida och hur personuppgiftsansvaret var fördelat mellan
denne och Facebook. Jag tror du kan använda den som ledning för hur
du kan tänka på personuppgiftsansvaret. Du kan läsa domen på
följande länk:
http://curia.europa.eu/juris/document/document.jsf?text=&docid=202543&pageIndex=0&doclang=SV&mode=req&dir=&occ=first&part=1&cid=323536
Kortfattat beslutade domstolen är en administratör för en Facebook
sida är gemensamt personuppgiftsansvarig med Facebook.
Undantag för journalistiskt
ändamål:
Jag vill även informera att det
finns ett undantag i GDPR för när man behandlar personuppgifter för
ett journalistiskt ändamål) Sådant som ligger inom ramen för
journalistiska ändamål är att informera, utöva kritik och väcka
debatt i samhällsfrågor som är av betydelse för allmänheten. Om
personuppgifter behandlas för sådana ändamål är behandlingen i
princip undantagen från de flesta av GDPR:s och dataskyddslagens
bestämmelser. Undantaget är inte begränsat till journalister eller
massmedier och det ställs inte heller några särskilda
kvalitetskrav på verksamheten. Även en privatperson kan ha ett
journalistiskt ändamål, till exempel när man bloggar. Däremot
gäller undantaget inte vid publicering av uppgifter om andra
personer om uppgifterna är av rent privat karaktär. Tolkningen av
uttrycket "journalistiska ändamål" kommer från Högsta
domstolens vägledning i mål NJA 2001 s. 409.
Vänliga hälsningar
Nazli Pirayehgar
Jurist, Datainspektionen
www.datainspektionen.se
*kursiverat i originaltexten
Datainspektionen säger i korthet: de svarar inte på specifika frågeställningar. De ger bara allmän vägledning. Den allmänna vägledningen här är att personlig integritet och privatliv skall skyddas. Man skall inte kunna skriva om, fota eller filma människor, inte lämna ut deras namn och adress eller personnummer, på nätet hur som helst bara för att man känner för det. Men inte ens då finns något absolut krav på samtycke från de omskrivna, fotade eller filmade personerna: har man anledning att publicera materialet, så får man göra en intresseavvägning. Vilket väger tyngst, privatpersonens intresse av att inte bli fotad, filmad etc, eller fotografens/skribentens intresse av att visa ett sammanhang där privatpersonen förekommer?
I det sammanhang som gäller här förekommer varken namn, personnummer, foton eller filmer. Det som förekommer är kennelnamn, och även om en person då indirekt kan identifieras av intresserade valpköpare både via SKK och via egna, frivilligt publicerade annonser, är det svårt för mig att av DI:s svar förstå hur detta skulle kunna vara ett brott mot GDPR.
Vidare gäller alltså skrivningen om "journalistiskt ändamål". Jag har ögnat igenom HD:s mål NJA 2001 s 409. Om publicering på nätet av ett personregisterliknande upplägg så som däri beskrivs kan godkännas som "journalistiskt ändamål" av HD, är det min gissning att en listade över reggade collievalpar avsedd för den intresserade allmänheten också skulle det. Milt sagt.
Bodil Carlsson
.
Inga kommentarer:
Skicka en kommentar