Från årsskiftet ändras nu förbudet i personuppgiftslagen, PUL, mot överföring av personuppgifter via Internet till tredje land.
- Nu får personuppgifter inte överföras till länder utanför EU och EES, utom vid vissa undantag, till exempel då berörd person gett samtycke. I princip innebär det ett förbud mot publicering av så enkla uppgifter som namn på Internet utan uttryckligt samtycke från berörd person.
- Lagändringen innebär att överföring av personuppgifter till tredje land blir tillåten om mottagarlandet har en adekvat skyddsnivå. Vad detta är ger dock lagtexten ingen tydlig förklaring till utöver att det ska bedömas med hänsyn till samtliga omständigheter, och särskild vikt ska läggas vid till exempel uppgifternas art och mottagarlandets skyddsregler, men uppgifter på Internet sprids till länder som helt saknar skyddsregler för behandling av personuppgifter.

Att publicering på Internet blir tillåten framgår alltså inte av lagtexten utan endast av regeringens argumentation i propositionen. Regeringen menar att publicering på Internet bör bli tillåten, eftersom det inte finns någon anledning att skydda uppgifter som redan spridits inom hela EU och EES.

Regeringen uttalar att en begränsning av spridning till resten av världen skulle vara märklig, eftersom uppgifterna "redan är tillgängliga för hundratals miljoner människor".

Regeringens resonemang håller inte. Det finns inget separat europeiskt Internet där uppgifter kan spridas bara inom EU och EES, och det går därför inte att motivera spridning av personuppgifter till hela världen med att uppgifterna redan är tillgängliga för hela befolkningen inom EU och EES-staterna.

Personuppgifter blir inte tillgängliga för hela befolkningen i EU- och EES-staterna förrän de publiceras på Internet och därmed samtidigt blir tillgängliga i hela världen.
- Lagen blir nu svår att tolka, och därmed går det inte heller att avgöra i vilka fall överföring av personuppgifter blir tillåtet.
- Frågan är dessutom om lagänd-ringen ska tolkas så att all publicering av personuppgifter på Internet blir tillåten, eller om det bara gäller i vissa fall, till exempel när det gäller enklare uppgifter såsom namn. Den adekvata skyddsnivån ska ju bedömas med hänsyn till samtliga omständigheter, även uppgifternas art.

Om regering och riksdag vill undanta publicering av personuppgifter på Internet från överföringsförbudet, bör detta framgå tydligt av lagtexten, inte genom luddiga resonemang i propositionen.

- Den beslutade lagändringen får även märkliga konsekvenser, eftersom publicering på Internet i princip tillåts, medan förbudet fortfarande gäller oförändrat för annan överföring, till exempel via e-post. Om inte något av undantagen är tillämpligt, kan det nämligen vara förbjudet och straffbart att överföra personuppgifter med e-post till ett tredje land.
- För ett företag med kontor både i Sverige och till exempel Japan kan det i vissa fall vara förbjudet att skicka personuppgifter via e-post från Sverigekontoret till Japankontoret, men lagligt att publicera uppgifterna på Internet och sedan låta Japankontoret hämta dem från webbsidan.
- Denna orimlighet kan minskas om sådan överföring via e-post bedöms som ett ringa brott mot överföringsförbudet, vilket genom lagändringen blir undantaget från straffansvar.
- Men hur ska en enskild företagare kunna avgöra vad som är ringa, när det saknas exempel i lagtexten?
- Förslaget har inte oväntat mött kritik från remissinstanserna. Regeringen har medgett att det skulle ha behövts fler exempel, och att det kan vara svårt att tolka lagen. Men den invänder till sitt försvar att EG-direktivet utgör grunden för tolkningen av PUL, och att tolkningen ytterst blir beroende av vilken bedömning EG-domstolen kan komma att göra av direktivtexten.
- Nu rör det sig dock om straffstadganden i svensk rätt, och då bör höga krav ställas på tydlighet.

Om lagtexten tydligare uttrycker vad som är tillåtet respektive otillåtet, löper man visserligen risken att den tolkning som görs i lagen skulle kunna strida mot EG-domstolens tolkning och i förlängningen leda till att Sverige får kritik för att inte ha implementerat EG-direktivet på ett korrekt sätt.
- Från rättssäkerhetssynpunkt måste väl det ändå vara bättre än att enskilda riskerar straff enligt ett förbud som är så otydligt att inte ens regeringen vågar uttala sig om dess tolkning.

- Om inte regeringen kan avgöra vad som är tillåtet, hur kan då den enskilde förväntas göra det?

David Aversten
Tingsnotarie
Stockholms tingsrätt

Copyright