Staten skadeståndsskyldig med hänvisning till att känsliga personuppgifter offentliggjorts vid en tingsrätts huvudförhandling

Justitiekanslerns beslut

1. Justitiekanslern tillerkänner sökanden ersättning med 25 000 kr. Domstols­verket ansvarar för att ersättningen betalas ut till henne.

2. Justitiekanslern avslår anspråken från sökandens familjemedlemmar.

Ärendet

Bakgrund

Sökanden väckte i augusti 2018 talan vid Malmö tingsrätt mot ett försäkrings­­bolag gällande patientskadeersättning till följd av en personskada som hon förorsakats vid en förlossning. Tingsrätten höll två muntliga förberedelser i målet och huvudförhandlingen ägde rum i januari 2021. På grund av sakfrågan i målet innehöll parternas argumentation och bevisning en mycket stor mängd känsliga personuppgifter, i huvudsak hänförliga till sökanden. De känsliga personuppgifterna avsåg bl.a. psykisk- och fysisk hälsa. Bevisningen i målet inkluderade en stor mängd journaluppgifter från vården och sakkunniga.

En stor del av handlingarna var sekretessmarkerade i tingsrättens verksamhetsstöd, vilket innebar att ett eventuellt utlämnande av dessa handlingar skulle föregås av en sekretessprövning. Varken vid de muntliga förberedelserna eller huvudförhandlingen i målet förordnade rätten om stängda dörrar. I tingsrättens dom förekommer ett flertal känsliga uppgifter om sökandens hälsa.

Anspråket m.m.

Sökanden har begärt skadestånd av staten med 2 000 000 kr för kränkning. Fyra av hennes familjemedlemmar har vardera begärt skadestånd av staten med 1 000 000 kr för kränkning. Därutöver har familjemedlemmarna begärt skadestånd för ren förmögenhetsskada med sammanlagt 2 300 kr och sökanden för en personskada med ett ospecificerat belopp.

Grunden för anspråken är i huvudsak följande. Malmö tingsrätt har felaktigt offentliggjort uppgifter om sökandens hälsotillstånd. Vid en korrekt hand­läggning skulle dessa uppgifter ha hemlighållits. Förfarandet har resulterat i stora konsekvenser för sökanden och hennes familj. På grund av tingsrättens offentliggörande av uppgifterna har familjemedlemmar haft kostnader för byte av namn. Sökanden har också drabbats av en personskada till följd av händelsen.

Sökanden har vidare gjort gällande att hovrätten vägrat att belägga de känsliga uppgifterna med sekretess och försökt förmå sökanden att ingå en förlikning på ett otillbörligt sätt.

Malmö tingsrätt har yttrat sig över anspråket.

Justitiekanslerns bedömning

Rättsliga utgångspunkter

Bestämmelser om statens skadeståndsskyldighet finns i skadeståndslagen.

Skadeståndslagen är dock endast tillämplig i den utsträckning som något annat inte är särskilt föreskrivet (1 kap. 1 § skadeståndslagen). Sådana särskilda bestämmelser som aktualiseras vid behandling av personuppgifter i domstolarnas verksamhet finns i EU:s dataskyddsförordning (dataskydds­förordningen) och lagen (2018:218) med kompletterande bestämmelser till

EU:s dataskyddsförordning (dataskyddslagen) samt domstolsdatalagen (2015:728).

Dataskyddsförordningen är enligt artikel 2 i förordningen tillämplig bl.a. på behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register. Dataskyddsförordningen omfattar t.ex. behandling i dator av personuppgifter i löpande text (se Sören Öman, Data-skyddsförordningen [GDPR] m.m. – en kommentar, Juno, version 3, kommentaren till artikel 2. Se även prop. 1997/98:44 s. 53 f.).

Enligt artikel 5 i dataskyddsförordningen ska personuppgifter bl.a. behandlas lagligt, korrekt och på ett sätt som säkerställer lämplig säkerhet för personuppgifterna. Av bestämmelsen följer vidare att personuppgifterna ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. 

För behandling av känsliga personuppgifter gäller dessutom att något av kraven i artikel 9.2 i dataskyddsförordningen är uppfyllda. Med känsliga personuppgifter avses enligt artikeln bl.a. uppgifter om hälsa (artikel 9.1 i dataskyddsförordningen). Enligt artikel 9.2 f i dataskyddsförordningen är sådan nödvändig behandling av känsliga personuppgifter bl.a. tillåten när det sker som en del av domstolarnas dömande verksamhet. Att sådan person­uppgiftsbehandling får ske vid domstolarnas handläggning av mål följer också av 6 § domstolsdatalagen.

Varje person som har lidit en materiell skada (t.ex. ekonomisk skada eller personskada) eller immateriell skada (t.ex. kränkning) till följd av en överträdelse av dataskyddsförordningen har enligt artikel 82 i förordningen rätt till ersättning från den personuppgiftsansvarige. För en sådan rätt till ersättning krävs att tre villkor är uppfyllda; att det har förekommit en överträdelse av förordningen, att det har uppkommit en skada och att det finns ett orsakssamband mellan skadan och överträdelsen (se EU-domstolens dom den 4 maj 2023 i mål nr C-300/21, Österreichische Post, EU:C:2023:370, p. 32).

Det framgår vidare av EU-domstolens praxis att ersättningens storlek ska bestämmas med tillämpning av nationella regler, under förutsättning att dessa inte är mindre förmånliga än dem som reglerar liknande nationella situationer eller medför att det i praktiken blir omöjligt eller orimligt svårt att utöva rättigheter som följer av unionsrätten (Österreichische Post, p. 59). Ersättningens storlek ska alltså som utgångspunkt bestämmas i enlighet med de riktlinjer som följer av svensk rätt.

I förarbetena till dataskyddslagen angavs att motiven till den tidigare gällande person­uppgiftslagen och den praxis som därvid utvecklats bör kunna vara vägledande även vid prövning av rätten till ersättning enligt dataskyddsförordningen (se SOU 2017:39 s. 304). Det är också så som Justitiekanslern har tillämpat rätten till ersättning enligt förordningen (se exempelvis Justitiekanslerns beslut den 15 mars 2022 i ärende nr 2020/7177).

Det innebär att ersättningen för den kränkning som uppkommit till följd av en överträdelse av dataskyddsförordningen får uppskattas efter skälighet mot bakgrund av samtliga omständigheter i det aktuella fallet. Vid den bedömningen ska bl.a. beaktas sådana faktorer som eventuell risk för otillbörlig spridning av känsliga eller felaktiga uppgifter och om den registrerade på grund av den felaktiga behandlingen har blivit utsatt för beslut eller åtgärder som kunnat innebära något negativt för honom eller henne (se prop. 1997/98:44 s. 142).

Bedömningen i detta fall

Personuppgiftsbehandlingen har varit felaktig

Det står inledningsvis klart att det vid huvudförhandlingen i målet lades fram ett stort antal känsliga personuppgifter om sökandens psykiska- och fysiska hälsa. Det framgår dock inte om – och i så fall i vilken omfattning –så också skett vid de muntliga förberedelserna eller om sekretess­problematiken då berördes. Justitiekanslern avser därför att fokusera på de överväganden som gjordes i samband med huvudförhandlingen i målet. En första fråga är därmed om den behandling som skett omfattas av dataskyddsförordningens tillämpningsområde.

I vart fall en stor del av de känsliga uppgifter som lades fram vid huvudförhandlingen hade dessförinnan hanterats inom ramen för tingsrättens diarieförings­system. De känsliga uppgifter som i förekommande fall framkom av förhören vid huvudförhandlingen har också registrerats i diarieförings­systemet och har tillsammans med tidigare registrerade uppgifter i inte oväsentliga delar influtit i tingsrättens dom. Mot denna bakgrund får en inte obetydlig del av sökandens personuppgifter anses ha behandlats i den mening som avses i dataskydds­förordningen. Rätten till ersättning ska enligt Justitiekanslerns mening därmed prövas utifrån bestämmelserna i dataskyddsförordningen. Fråga är då om den person­uppgifts­behandling som skett varit felaktig i dataskydds­förordningens mening.

I förarbetena till domstolsdatalagen har framhållits att det stora flertalet känsliga personuppgifter som behandlas i domstol härrör från vad parterna anfört i inlagor och vid domstolsförhandlingar och att det i den verk­samheten i huvudsak är fråga om att använda redan inkomna känsliga person­uppgifter vid framställning av olika dokument som är nödvändiga för handläggning och avgörande av mål och ärenden (se prop. 2014/15:148 s. 39 och 49). Hur personuppgifter ska hanteras inom ramen för hand­läggningen av mål i domstol och hur even­tuella integritets­skydds­aspekter ska värnas är även styrda av bestämmel­serna i rätte­gångs­balken vilka i vissa avseenden hänvisar till offentlighets- och sekretess­lagen (2009:400), bl.a. i fråga om offentlighet vid förhandling i domstol.

Den grundlagsfästa utgångspunkten är att en förhandling vid allmän domstol ska vara offentlig (2 kap. 11 § andra stycket regeringsformen). Rätten till en offentlig förhandling följer även av Sveriges åtaganden enligt Europa­konventionen. Enligt artikel 6.1 i konventionen får förhandlingsoffentlig­heten begränsas, såvitt nu är av intresse, av hänsyn till skyddet för parternas privatliv. Dessa grundläggande utgångspunkter har bl.a. kommit till uttryck i 5 kap. 1 § rättegångsbalken. Enligt bestäm­melsens andra stycke får rätten besluta att en för­handling ska hållas inom stängda dörrar om det kan antas att det vid för­handlingen kommer att läggas fram en uppgift som är sekretess­belagd hos domstolen enligt offentlighets- och sekretesslagen och det bedöms vara av synnerlig vikt att uppgiften inte röjs. 

I det nu aktuella målet var det främst bestämmelsen i 21 kap. 1 § offentlighets- och sekretesslagen som domstolen hade att förhålla sig till. Enligt bestämmelsen gäller sekretess för bl.a. uppgift som rör en enskilds hälsa, såsom uppgifter om sjukdomar, om det måste antas att den enskilde eller någon närstående till denne kommer att lida betydande men om uppgiften röjs. Sekretessen gäller med ett kvalificerat rakt skaderekvisit vilket innebär att det råder en särskilt stark offentlighetspresumtion. (Se prop. 2005/06:161 s. 97.) 

Av 43 kap. 5 § andra stycket offentlighets- och sekretesslagen framgår vidare att sekretess för en uppgift som har lagts fram vid en förhandling inom stängda dörrar gäller även under domstolens fortsatta handläggning av målet, om inte annat särskilt beslutas. Sedan domstolen har skilt målet eller ärendet från sig fortsätter dock sekretessbestämmelsen att vara tillämplig endast i den utsträck­ning domstolen i domen eller beslutet särskilt har förordnat om det (se 43 kap. 8 § andra stycket offentlighets- och sekretess­lagen). Eftersom det inte har förordnats om stängda dörrar under någon del av huvudförhandlingen i målet blev alltså de uppgifter som då lades fram offentliga i sin helhet. Detta innebär att den sekretess som kan ha gällt för uppgifter i målet upphörde att gälla i den mån dessa uppgifter förebringades vid förhand­lingen.

Rättens möjlighet att förordna om stängda dörrar med hänvisning till sekretess av nu aktuellt slag är som framgått alltså fakultativ. Lagstiftaren har därmed i betydande omfattning överlåtit åt domstolen att i det enskilda fallet avgöra om en förhandling bör hållas inom stängda dörrar. Detta ska ske efter en avvägning mellan intresset av sekretess och intresset av insyn (se prop. 1979/80:2 s. 309 och Heuman m.fl., Sekretess m.m. hos allmän domstol, femte upplagan, s. 110). Av vikt är även att den enskilde till viss del själv disponerar över de intressen som domstolen har att beakta vid prövningen av om en förhandling ska hållas inom stängda dörrar. Den enskilde kan nämligen helt eller delvis efterge sitt sekretesskydd (12 kap. 2 § första stycket offentlighets- och sekretesslagen).

Justitiekanslern och Riksdagens ombudsmän (JO) har tidigare framhållit att det ankommer på rätten att bedöma om någon enskild lider skada av att en viss uppgift röjs och att rätten därför har ett ansvar för att denna fråga blir tillräckligt utredd (se JK-Beslut 1993 s. 26 och JO 1986/87 s. 28). Tyngden av de intressen som i det enskilda fallet talar för sekretess respektive för offentlighet påverkas också av hur de berörda parterna ser på denna fråga. För att domstolen ska kunna göra ett välgrundat ställnings­tagande av om en förhandling ska hållas inom stängda dörrar måste därför parternas inställning i sekretessfrågan klargöras (se anfört JK-beslut).

Vilka krav man kan ställa på rättens utredningsskyldighet kan naturligtvis variera beroende på vilket material som ska förebringas. Beträffande material som inte typiskt sett kan tänkas innehålla känsliga uppgifter kan det inte ställas lika höga krav på rättens utredningsskyldighet som i de klara fallen. Med tanke på offentlig­görandets definitiva karaktär och de svåra och  irreparabla skador det kan medföra är det naturligtvis bättre att frågan aktualiseras en gång för mycket än en gång för litet (se Edelstam, Offentlighet och sekretess i rättegång, 2001, s. 196 f. Jfr också Svea hovrätts dom den 7 maj 2009 i mål nr T 6168-08 där en tingsrätts underlåtenhet att ta ställning i fråga om förhandlingsoffentlighet har ansetts skadeståndsgrundande.).

Tingsrätten har vidgått att det var försumligt att frågan om stängda dörrar vid huvudförhandlingen inte togs upp av rätten. Den uppgiftsbehandling som därefter skedde utgjorde visserligen en nödvändig del av den dömande verksamheten och var därmed som utgångspunkt tillåten. Av data­skydds­förordningen följer emellertid också ett krav att personuppgifterna ska behandlas på ett korrekt sätt. Med det menas inte bara att behandlingen ska ske enligt det tillämpliga regelverket, utan även att den ska vara proportionerlig i ljuset av den registrerades legitima intressen. I det enskilda fallet skulle det alltså t.ex. kunna vara oförenligt med principen om korrekthet att vidta en viss behandlingsåtgärd, även om denna i övrigt skulle vara förenlig med dataskyddsförordningen, nämligen om behandlingen av personuppgifter är oskälig i förhållande till den registrerade (se prop. 2017/18:105 s. 47, jfr även beaktandesats 39 till dataskydds­förordningen). Även Integritetsskyddsmyndigheten har framhållit skälighetsaspektens betydelse. Enligt myndigheten innebär principen om korrekthet att behandlingen av personuppgifter ska vara rättvis, skälig och rimlig i förhållande till den registrerade (Integritetsskyddsmyndigheten, Vägledning till politiska aktörer om dataskyddsreglerna i samband med valkampanjer, 2022, s. 9).

Tingsrätten har haft det över­gripande ansvaret att inom ramen för sin dömande verksamhet tillse att personuppgifterna behandlades på ett korrekt sätt. Domstolens underlåten­het att inhämta sökandens uppfattning i frågan om förhandlings­offentlighet har medfört en felaktig avvägning i förhållande till sökandens intresse av integritet. Mycket känsliga uppgifter har därigenom på ett definitivt sätt blivit tillgängliga för envar till betydande men för sökanden. Behandlingen har därmed skett i strid med dataskyddsförordningens krav på korrekthet. För det är staten skadeståndsskyldig enligt förordningen.

Ersättningens storlek

Sökanden och övriga familjemedlemmar har begärt skadestånd för kränkning. Därutöver har begärts ersättning för en ren förmögenhetsskada och personskada.

De personuppgifter som röjts har varit känsliga. Det har för sökanden naturligtvis inneburit ett stort obehag och oro att så integritets­känsliga uppgifter om henne har blivit offentliggjorda. Vid en samlad bedömning –där hänsyn tagits till Justitiekanslerns tidigare beslut i jämförbara fall – anser Justitie­kanslern att sökanden ska få ersättning med skäliga 25 000 kr för den kränkning som orsakats henne (jfr t.ex. Justitiekanslerns beslut den 27 sep­tember 2024 i ärende 2023/8563 och den 3 januari 2025 i ärende 2023/8730).

Utifrån ordalydelsen i artikel 82 är rätten till ersättning förvisso inte begränsad till den registrerade personen, utan den gäller för ”varje person som har lidit materiell eller immateriell skada” till följd av en överträdelse av förordningen. Det är därmed inte uteslutet att även sökandens familjemedlemmar kan ha en rätt till ersättning enligt förordningen om de har lidit en skada till följd av det inträffade (jfr Justitiekanslerns beslut den 22 juni 2023 i ärende nr 2022/2916). Beträffande familjemedlemmarna har det emellertid inte framkommit att känsliga personuppgifter om dessa röjts. Det förhållande att de är närstående till sökanden kan i den nu aktuella situationen inte heller anses ha framkallat någon allvarlig kränkning (jfr NJA 2017 s. 584). Det finns därför inte skäl att tillerkänna övriga familjemedlemmar någon ekonomisk ersättning för det inträffade.

Utöver ersättning för kränkning har även begärts ersättning för namnbyten och personskada. De påstådda skadorna kan dock inte anses ha utgjort en adekvat följd av tingsrättens handläggning. Anspråken i dessa delar ska därför avslås.