Publicering på Internet

Vad får man lägga ut på webben?

I personuppgiftslagen (PuL) finns inga specifika regler för Internet. Personuppgiftslagens generella regler för behandling av personuppgifter gäller även publicering på Internet.

Strukturerade eller ostrukturerade uppgifter?

Vilka regler i personuppgiftslagen som gäller beror på hur personuppgifterna som publiceras på webbplatsen är strukturerade. Om personuppgifterna lagras i en databas eller annan typ av register anses uppgifterna vara strukturerade. Om personuppgifterna återfinns i löpande text på webbsidan anses uppgifterna däremot vara ostrukturerade. För strukturerad personuppgiftsbehandling gäller betydligt fler regler än för ostrukturerad.

Ostrukturerad behandling av personuppgifter

Det är i princip alltid tillåtet att publicera personuppgifter i löpande text på en webbsida så länge man inte kränker den som uppgifterna avser. För att avgöra om en behandling av personuppgifter är kränkande måste man göra en samlad bedömning av hur känsliga uppgifterna är, i vilket sammanhang de förekommer, för vilket syfte de behandlas, vilken spridning de har fått eller riskerar att få samt vad behandlingen kan leda till. Man får således göra en avvägning i det enskilda fallet där den registrerades intresse av en fredad, privat sfär vägs mot intresset av att publicera uppgifterna.

Strukturerad behandling av personuppgifter

När personuppgifter är ordnade i register eller databaser eller på annat sätt så att man enkelt kan söka fram eller sammanställa dem är huvudregeln att hela personuppgiftslagen ska tillämpas. Det finns dock en rad undantag:

Grundlagsskydd

Personuppgiftslagen gäller inte när personuppgifter publiceras på webbplatser med grundlagsskydd, till exempel massmedieföretags webbplatser eller webbplatser med utgivningsbevis.

Samtycke

Om den registrerade – den som personuppgifterna avser – har lämnat sitt samtycke, är det tillåtet att publicera uppgifterna på Internet. Det är viktigt att komma ihåg att den registrerade ska ha fått sådan information att han eller hon kan bedöma för- och nackdelar med publiceringen.

Harmlösa uppgifter

Harmlös information får publiceras på Internet utan den registrerades samtycke. Vad som är harmlös information måste bedömas från fall till fall. Utgångspunkten bör vara hur den registrerade kan uppleva publiceringen. Tänk på att inte alla har samma uppfattning om vad som är integritetskänsligt! Om du är osäker är det en god regel att inhämta samtycke.

Känsliga uppgifter, det vill säga uppgifter om etnisk tillhörighet, religiös övertygelse, medlemskap i fackförening och även uppgifter om hälsa och sexualitet får normalt inte publiceras utan samtycke.

Journalistiska ändamål

Den som publicerar personuppgifter uteslutande för journalistiska ändamål behöver bara uppfylla säkerhetsreglerna i personuppgiftslagen. Detta undantag från personuppgiftslagens övriga regler är vidsträckt, det omfattar all publicering med ändamål att informera, utöva kritik och väcka debatt om frågor av betydelse för allmänheten. Däremot gäller undantaget inte uppgifter av rent privat karaktär.

Undantag från personuppgiftslagens övriga regler gäller också uppgifter som behandlas uteslutande för konstnärligt eller litterärt skapande.

Några praktiska exempel

Bloggar

En blogg innehåller typiskt löpande text och eventuellt bilder. Publicering av personuppgifter i löpande text på en webbsida är i princip alltid tillåten så länge man inte kränker den som uppgifterna avser.

Arbetsplatsen

Namn, befattning, telefonnummer, e-postadress och liknande arbetsplatsrelaterade personuppgifter kan normalt publiceras på en webbplats utan den registrerades samtycke. Vill man däremot lägga ut till exempel hemadress, hemtelefonnummer eller foton bör man fråga personen först.

Skolan

Uppgifter på Internet kan få stor spridning och en publicering ger stora möjligheter att kartlägga i otillbörliga syften. För att uppfylla kraven i personuppgiftslagen krävs samtycke från eleverna själva eller deras vårdnadshavare. Det finns inga särskilda bestämmelser i personuppgiftslagen om från vilken ålder unga personer själva kan samtycka till viss behandling, men Datainspektionen brukar ha 15 år som tumregel. För yngre elever måste vårdnadshavarna ge sitt samtycke innan uppgifter publiceras.

Föreningslivet

Medlemsregister innehåller normalt sett harmlös information, men tänk på att exempelvis medlemmar i en skytteförening kan invända mot en publicering som visar att det kan finnas vapen på en viss adress. Det kan vara lämpligt att på ett medlemsmöte diskutera vilka personuppgifter som ska finnas på föreningens webbplats. Många personer vill inte att deras adress och telefonnummer publiceras på Internet.

Kommuner

Personuppgifter som ingår i diarier, kallelser till sammanträden och protokoll får läggas ut på Internet i enlighet med särskilda föreskrifter i personuppgiftsförordningen. Huvudregeln är att uppgifter som direkt pekar ut den registrerade inte får publiceras. Vissa undantag finns angivna i förordningen.

Foton på Internet

Foton där personer kan identifieras betraktas normalt som personuppgifter även om inga namn nämns. Om man på en webbplats skulle vilja publicera foton på till exempel anställda är det ofta nödvändigt att först inhämta samtycke. Även om det rör sig om behandling av personuppgifter i ostrukturerat material, som enstaka bilder på Internet, kan det beroende på sammanhanget behövas samtycke för att undvika risken för kränkning.

Vad gäller när personuppgifter behandlas på webbplatser?

Fråga:

Vad gäller när personuppgifter behandlas på webbplatser?

Svar:

Att göra personuppgifter tillgängliga på Internet är en behandling som omfattas av personuppgiftslagen. I lagen finns dock inga särskilda regler som gäller just för Internet.

Sedan den 1 januari 2007 gäller en förenklad reglering för viss behandling av personuppgifter. De flesta bestämmelserna i personuppgiftslagen behöver inte tillämpas när man behandlar personuppgifter i ostrukturerat material, till exempel löpande text.

Det kan vara fråga om texter som publicerats på webbsidor. En sådan publicering av personuppgifter är tillåten utan andra restriktioner än att behandlingen inte får kränka den registrerade.

För att den förenklade regleringen ska kunna tillämpas får materialet dock inte ingå i eller vara avsett att ingå i ett dokument- eller ärendehanteringssystem eller någon annan databas.

När man ska avgöra vad som är en kränkning och därför en otillåten behandling måste man göra en intresseavvägning där den registrerades intresse av en fredad, privat, sfär vägs mot andra motstående intressen i det enskilda fallet.

Man måste ta hänsyn till alla omständigheter: vilka uppgifter som behandlas, i vilket sammanhang uppgifterna förekommer, för vilket syfte de behandlas, vilken spridning de har fått eller har riskerat att få samt vad behandlingen kan leda till.

Eftersom Internet inte har några gränser kan personuppgifter på webbsidor nå användare i länder där skyddet för personuppgifter inte är lika starkt som i Sverige.

Om det är fråga om en strukturerad behandling av personuppgifter och man i stället för den förenklade regleringen har att tillämpa de övriga regelsystemet i personuppgiftslagen kan följande nämnas.

En behandling av personuppgifter på en webbplats på Internet måste då uppfylla de grundläggande kraven i 9 § personuppgiftslagen, vilket innebär att det måste finnas ett bestämt och berättigat ändamål med behandlingen.

Behandlingen måste också vara tillåten enligt 10 § personuppgiftslagen. Huvudregeln är att personuppgifter bara får behandlas med de registrerades samtycke, men behandlingen kan i vissa fall även få genomföras utan samtycke. Behandlingen kan till exempel vara tillåten efter en intresseavvägning. Vid en sådan prövning måste den personuppgiftsansvariges intresse av en publicering väga tyngre än den registrerades intresse av skydd mot den kränkning av den personliga integriteten som en publicering kan medföra.

Bestämmelserna i personuppgiftslagen om överföring till tredje land kan också bli tillämpliga. Det finns också särskilda begränsningar för behandling av känsliga personuppgifter, uppgifter om lagöverträdelser och person- och samordningsnummer som man måste beakta.

Om personuppgifterna behandlas uteslutande för journalistiska ändamål gäller i huvudsak bara bestämmelserna om säkerhet i personuppgiftslagen.

Inom ramen för ett journalistiskt ändamål ligger att informera, utöva kritik och väcka debatt om samhällsfrågor av betydelse för allmänheten.

Undantaget är inte avsett bara för etablerade massmedier och personer som är yrkesverksamma inom sådana medier utan även andra kan behandla personuppgifter för journalistiska ändamål. Uppgifter av rent privat karaktär omfattas normalt inte av undantaget, även om uppgifterna publiceras i ett sammanhang som i övrigt har journalistiska ändamål eller rör personer som det också lämnas andra uppgifter om som omfattas av det journalistiska ändamålet.

Personuppgiftslagen gäller inte för sådan behandling av personuppgifter på Internet som omfattas av bestämmelser i yttrandefrihetsgrundlagen.

Som exempel kan nämnas personuppgifter som publiceras på Internet av tidningsredaktioner och personuppgifter som sprids på en webbplats med utgivningsbevis.

Gäller personuppgiftslagen när personuppgifter görs tillgängliga på en privat webbplats?

Fråga:

Gäller personuppgiftslagen när personuppgifter görs tillgängliga på en privat webbplats?

Svar:

Ja, en publicering av personuppgifter på Internet är inte att betrakta som en privat behandling eftersom uppgifterna görs tillgängliga för ett obestämt antal personer.

Är det tillåtet att publicera foton av andra på Internet?

Fråga:

Är det tillåtet att publicera foton av andra på Internet?

Svar:

Innan man publicerar uppgifter om andra personer bör man tänka på att det medför särskilda risker att sprida personuppgifter via Internet.

Det finns personer som av olika orsaker är särskilt utsatta och vissa anser att det är kränkande att få sin bild publicerad på Internet.

Om man vill vara på den säkra sidan kan man inhämta ett samtycke till publiceringen eller åtminstone försöka ta reda på vad personen själv tycker.

Enlig personuppgiftslagen är det tillåtet att behandla personuppgifter i så kallat ostrukturerat material, till exempel löpande text och enstaka bilder, utan andra restriktioner än att man därigenom inte får kränka den enskildes personliga integritet.

Att lägga upp några bilder på någon annan på en vanlig hemsida på Internet kan därför vara tillåtet. Men det får alltså inte ske om det kränker den enskildes integritet.

När man ska bedöma om en behandling av personuppgifter innebär en kränkning ska man bland annat ta hänsyn till följande:

• Känsligheten hos uppgifterna.
• I vilket sammanhang uppgifterna förekommer.
• För vilket syfte de publiceras.
• Vilken spridning de har fått eller har riskerat att få.
• Vad publiceringen kan leda till.

Det kan till exempel vara kränkande att lägga upp bilder på en person som är naken, berusad eller blir retad av andra. I sådant fall är det inte tillåtet att publicera bilden på Internet.

Vid publicering av bilder på barn bör man alltid vara försiktig.

När det exempelvis gäller skolelever rekommenderar Datainspektionen att man skaffar samtycke från vårdnadshavarna (eller från barnets självt om det rör sig om äldre barn).