Juridiska institutionen Höstterminen 2014
Examensarbete med praktik i folkrätt 30 högskolepoäng
Datalagring och skyddet för den personliga integriteten
En analys av EU-‐domstolens ogiltigförklarande av
datalagringsdirektivet samt konsekvenserna för svensk datalagringslagstiftning
Författare: Rebecca Fassihi Handledare: Mark Klamberg
I
Innehållsförteckning
Förkortningar ... III
1 Inledning ... 1
Allmänt ... 1 1.1
Syfte och frågeställning ... 4 1.2
Metod och material ... 5 1.3
Avgränsning ... 6 1.4
Disposition ... 7 1.5
2 Skyddet för den personliga integriteten ... 8 Allmänt ... 8 2.1
Europakonventionen ... 10 2.2
2.2.1 Allmänt ... 10 2.2.2 Europakonventionen artikel 8 – rätt till skydd för privat- och familjeliv 11 EU-stadgan ... 15 2.3
2.3.1 Allmänt ... 15 2.3.2 EU-stadgan artikel 7 – respekt för privatlivet och familjelivet ... 15 2.3.3 EU-stadgan artikel 8 – skydd av personuppgifter ... 18
Skillnaden mellan Europakonventionen och EU-stadgan samt rättigheterna 2.4
däri ... 20
3 Datalagringsdirektivet ... 22 Allmänt ... 22 3.1
Datalagringsdirektivet ... 24 3.2
4 EU-domstolens dom i de förenade målen C-293/12 och C-594/12 ... 27 Allmänt ... 27 4.1
Omständigheter ... 27 4.2
4.2.1 Mål C-293/12 Digital Rights Ireland ... 27
II
4.2.2 Mål C-594/12 Seitlinger m.fl. ... 28 EU-domstolens bedömning ... 28 4.3
Konsekvenser av domen för nationell rätt ... 31 4.4
Analys av domen ... 33 4.5
5 Svensk datalagringslagstiftning ... 35 Allmänt ... 35 5.1
Lagring av uppgifter ... 35 5.2
5.2.1 Lagen om elektronisk kommunikation ... 35 Tillgång till uppgifter ... 38 5.3
5.3.1 Rättegångsbalken ... 38 5.3.2 Inhämtningslagen ... 40
6 Svensk datalagringslagstiftnings förenlighet med skyddet för den personliga integriteten ... 42
Allmänt ... 42 6.1
En generell och omfattande datalagring ... 43 6.2
Myndigheternas tillgång till de lagrade uppgifterna ... 47 6.3
Uppgifternas lagringstid ... 56 6.4
Risken för missbruk och otillåten tillgång eller användning av lagrade 6.5
uppgifter samt överföring av lagrade uppgifter till stater utanför EU ... 59
7 Avslutande kommentarer ... 64
Källförteckning ... 67
III
Förkortningar
Datalagringsdirektivet Europaparlamentets och rådets direktiv 2006/24/EG av den 15 mars 2006 om lagring av trafikuppgifter som genererats eller behandlats i samband med tillhandahållande av allmänt tillgängliga elektroniska kommunikationstjänster eller allmänna kommunikationsnät och om ändring av direktiv 2002/58/EG
Ds Departementsserie
EDPS Europeiska datatillsynsmannen
EU Europeiska unionen
EU-domstolen Europeiska unionens domstol (Luxemburg) EU-stadgan Europeiska unionens stadga om de grundläggande
rättigheterna
Europadomstolen Europeiska domstolen för de mänskliga rättigheterna (Strasbourg)
Europakonventionen Europeiska konventionen (4 november 1950) om skydd för de mänskliga rättigheterna och de grundläggande friheterna
FEU Fördraget om Europeiska unionen
FEUF Fördraget om Europeiska unionens funktionssätt Inhämtningslagen Lagen (2012:278) om inhämtning av uppgifter om
elektronisk kommunikation i de brottsbekämpande myndigheternas underrättelseverksamhet
LEK Lagen (2003:389) om elektronisk kommunikation
Prop. Proposition
PTS Post- och telestyrelsen
RB Rättegångsbalken (1942:740)
SIN Säkerhets- och integritetsskyddsnämnden
SOU Statens offentliga utredningar
IV
1 Inledning
Allmänt 1.1
Dagens teknikutveckling och internationalisering har medfört att en stor del av vår kommunikation sker via telefoner och på internet. Utvecklingen har också bidragit till nya möjligheter att begå och medverka till brott, då brott kan planeras och utföras anonymt och utan att de som är inblandade har direkt, personlig kontakt med varandra.
Information om vår kommunikation är därför av stor betydelse för att effektivt kunna bekämpa och utreda brott. Inom EU har nationella myndigheter tidigare till en viss grad kunnat begära ut information om personers kommunikation från teleoperatörer. Olika regler inom EU ledde dock till snedvridningar på den inre marknaden för teleoperatörerna.1 EU var tvunget att ta sitt ansvar både gällande konkurrensaspekterna och kampen mot brottslighet och terrorism. Detta gjorde EU genom att år 2006 införa ett EU-direktiv om datalagring.2
Datalagringsdirektivet innebär i korthet en skyldighet för privata aktörer, såsom teleoperatörer, att lagra uppgifter om vem som kommunicerade med vem, när det skedde, var de som kommunicerade befann sig och på vilket sätt kommunikationen skedde. Själva innehållet i en kommunikation får emellertid inte avslöjas. Uppgifterna rör kommunikation via bland annat telefon, SMS samt e-post och måste sparas i minst sex månader. Den här typen av uppgifter brukar kallas trafikuppgifter.3 Enligt datalagringsdirektivet ska uppgifterna sedan kunna begäras ut av bland annat polis och åklagare ifall de bedöms behövas i utredningar om grova brott. Syftet med direktivet är att harmonisera medlemsstaternas regler om denna typ av datalagring, både för att
1 I vissa medlemsstater var teleoperatörerna tvungna att vidta och bekosta åtgärder för de brottsbekämpande myndigheternas räkning, exempelvis köpa utrustning för lagring av uppgifter och anställa personal för att hämta uppgifter medan teleoperatörer i andra medlemsstater inte var tvungna att göra det. Vidare slutade många teleoperatörer lagra trafik- och lokaliseringsuppgifter av faktureringsskäl då konsumenternas användning av bland annat gratis kommunikationstjänster ökade, vilket medförde att tillgången till dessa uppgifter för brottsbekämpande syften minskade, se Rapport från kommissionen till rådet och europaparlamentet, Utvärderingsrapport om direktiv 2006/24/EG, 18 april 2011, s 3 f.
2 Europaparlamentets och rådets direktiv 2006/24/EG av den 15 mars 2006 om lagring av trafikuppgifter som genererats eller behandlats i samband med tillhandahållande av allmänt tillgängliga elektroniska kommunikationstjänster eller allmänna kommunikationsnät och om ändring av direktiv 2002/58/EG, hädanefter datalagringsdirektivet.
3 Även begreppet metadata används ibland.
säkerställa att uppgifterna finns tillgängliga för brottsbekämpning och för att motverka hinder på den inre marknaden.
Datalagringsdirektivet skulle ha genomförts i medlemsstaterna i huvudsakliga delar senast den 15 september 2007.4 I Sverige var datalagringsdirektivet föremål för en omfattande samhällsdebatt och det rådde stor oenighet i riksdagen kring införandet av direktivet. Slutligen infördes det år 2012 i den nationella lagstiftningen – fem år för sent, vilket ledde till att EU-kommissionen väckte överträdelsetalan mot Sverige. Enligt Sverige hade dröjsmålet orsakats av extraordinära svårigheter som hade samband med lagstiftningsförfarandets särdrag, en vidlyftig politisk debatt om införlivandet av datalagringsdirektivet samt svåra intresseavvägningar. Dessa invändningar utgjorde, enligt EU-domstolen, inte grund för att ogilla kommissionens talan utan domstolen ålade Sverige att betala böter för det försenade genomförandet.5
Datalagringsdirektivet har väckt stor debatt också runt om i Europa. Europeiska datatillsynsmannen6 har starkt kritiserat datalagringsdirektivet och uttalat att det är den mest integritetskränkande åtgärden som någonsin antagits av EU i fråga om omfattning och antalet personer det berör.7 Kritiken grundar sig även på att datalagringsdirektivet inte varit så effektivt och inte lyckats lösa de snedvridningar på den inre marknaden som direktivet syftade till.8 Också i EU:s medlemsstater mötte datalagringsdirektivet motstånd. Exempelvis har Rumäniens, Tysklands och Tjeckiens författningsdomstolar ogiltigförklarat lagar om införlivande av datalagringsdirektivet i respektive jurisdiktioner eftersom de ansågs grundlagsstridiga.9
4 Artikel 15 (1) datalagringsdirektivet.
5 Mål C-185/09 kommissionen mot Sverige samt mål C-270/11 kommissionen mot Sverige.
6 European Data Protection Supervisor (EDPS).
7 Se talet av Hustinx (EDPS), The moment of truth for the Data Retention Directive, 3 december 2010, https://secure.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/EDPS/Publications/Spe eches/2010/10-12-03_Data_retention_speech_PH_EN.pdf (hämtad 7 juli 2014) samt EDPS:s yttrande gällande utvärderingsrapporten om datalagringsdirektivet från kommissionen, 31 maj 2011, https://secure.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2 011/11-05-30_Evaluation_Report_DRD_EN.pdf (hämtad 7 juli 2014).
8 Se talet av Hustinx (EDPS), The moment of truth for the Data Retention Directive, 3 december 2010, Det förekommer fortfarande betydande skillander gällande ändamålsbegränsning, tillgång till uppgifter, lagringsperioder, uppgiftsskydd, datasäkerhet och statistik. Kostnaderna som teleoperatörerna ådrar sig ersätts dessutom på olika sätt i olika medlemsstater. Skillnaderna har medfört stora svårigheter för teleoperatörerna och rättsosäkerhet för näringslivet, Rapport från kommissionen till rådet och europaparlamentet, Utvärderingsrapport om direktiv 2006/24/EG, 18 april 2011, s 34.
9 Rumänska författningsdomstolens beslut nr 1258 av den 8 oktober 2009, Bundesverfassungsgericht, 1 BvR 256/08 av den 2 mars 2010 och Tjeckiens författningsdomstols dom avseende lag nr 127/2005 och dekret nr 485/2005 av den 22 mars 2010.
EU-domstolen tog upp frågan angående datalagringsdirektivets giltighet efter att både Irlands högsta domstol och Österrikes författningsdomstol begärt en prövning av om lagringen av trafikuppgifter är i linje med bestämmelser inom EU för grundläggande fri- och rättigheter. EU-domstolen meddelade sin dom den 8 april 2014 och ogiltigförklarade däri det omtalade datalagringsdirektivet.10 Domstolen konstaterade att direktivet innebär ett synnerligen allvarligt ingrepp i rätten till respekt för privatlivet och skyddet för personuppgifter samt överskrider de gränser som proportionalitetsprincipen uppställer mot bakgrund av skyddet för privatlivet samt personuppgifter så som de framkommer i EU-stadgan.
Konsekvenserna för den nationella lagstiftningen av EU-domstolens dom är ännu något oklara eftersom EU-domstolen inte behandlar just den frågan i sitt avgörande. Domen innebär inte per automatik att den nationella lagstiftningen som genomför datalagringsdirektivet i de olika medlemsstaterna också är ogiltig, vilket kan vara tyckas märkligt med hänsyn till EU-domstolens allvarliga kritik mot datalagringsdirektivet.
Efter att domen meddelats har ändå författningsdomstolen i Österrike funnit att de österrikiska lagarna som genomför datalagringsdirektivet är grundlagsstridiga eftersom de strider mot en grundläggande rätt till dataskydd samt artikel 8 Europakonventionen, nämligen rätten till respekt för privat- och familjeliv.11
Direkt efter EU-domstolens dom uttalade den svenska Post- och telestyrelsen (PTS) att den inte längre kommer vidta åtgärder utifrån datalagringslagstiftningen.12 Domen kritiserades av bland annat chefen för Rikskriminalen som sade att resultatet kommer försvåra polisens arbete.13 I början av juni 2014 presenterade Justitiedepartementet en utredning som analyserar konsekvenserna för svensk rätt av nämnda dom från EU- domstolen. Slutsatsen i den utredningen är att det svenska regelverket om lagring och
10 Förenade målen C-293/12 och C-594/12 Digital Rights Ireland och Seitlinger m.fl.
11 Se pressmeddelandet från den österrikiska författningsdomstolen Verfassungsgerichtshof om dom G 47/2012 m.fl., Austrian Laws on Data Retention Found Unconstitutional, 27 juni 2014, http://www.vfgh.gv.at/cms/vfgh-
site/attachments/5/0/0/CH0003/CMS1403853653944/press_releasedataretention.pdf (hämtad 1 juli 2014).
12 Se utlåtandet från PTS, PTS kommer inte i nuläget att vidta åtgärder utifrån datalagringsreglerna, 10 april 2014, http://www.pts.se/sv/Nyheter/Telefoni/2014/PTS-kommer-inte-i-nulaget-att-vidta-atgarder- utifran-datalagringsreglerna/ (hämtad 26 juni 2014).
13 Se Dagens Juridik, Chefen för Rikskriminalen till angrepp mot EU-domstolens beslut om Datalagringsdirektivet, 14 april 2014, http://www.dagensjuridik.se/2014/04/chefen-rikskriminalen-till- angrepp-mot-eu-domstolens-beslut-om-datalagringsdirektivet (hämtad 11 maj 2014).
utelämnande av uppgifter ryms inom de ramar som ställs upp av unions- och europarättens allmänna principer och kravet på respekt för grundläggande rättigheter.14 Efter att utredningen publicerats började PTS tillämpa den svenska datalagringslagstiftningen igen.15 Ändå motsatte sig vissa teleoperatörer att lagra trafikuppgifter.16 Giltigheten av de svenska bestämmelserna för datalagring är alltså fortsättningsvis oklar.
Syfte och frågeställning 1.2
Den principiella frågan i debatten om datalagring gäller intresseavvägningen mellan å ena sidan personlig integritet och rättssäkerhet och å andra sidan statens intresse av att skaffa tillbörlig information för att kunna utreda brott och därigenom effektivt kunna skydda staten och dess medborgare.
Syftet med denna uppsats är att undersöka om den svenska lagstiftningen om datalagring fortfarande är giltig efter EU-domstolens beslut att ogiltigförklara datalagringsdirektivet. Är den svenska lagstiftningen i linje med EU-stadgan17 och Europakonventionen18 och det skydd för den personliga integriteten och respekten för privatlivet som finns däri, speciellt med tanke på den kritik som EU-domstolen riktade mot datalagringsdirektivet? För att uppfylla uppsatsens huvudsyfte bör även vissa delfrågor besvaras, såsom vilka konsekvenser ett ogiltigförklarat EU-direktiv får för den nationella tillämpningen. Det är också relevant att utreda när ett egentligt integritetsintrång sker. Är lagringen av uppgifter i sig ett integritetsintrång eller beror
14 Ds 2014:23. Utredningen gjordes av tidigare ordförande i Högsta förvaltningsdomstolen, Sten Heckscher, biträdd av professor i folkrätt vid Uppsala universitet, Iain Cameron. Utredningen benämns hädanefter datalagringsutredningen.
15 En representant för PTS bekräftade att PTS igen tillämpar den svenska datalagringslagstiftningen vid en öppen utfrågning om följderna av EU-domstolens dom om datalagringsdirektivet i riksdagen, 24 juni 2014, http://www.riksdagen.se/sv/Utskott-EU-namnd/Justitieutskottet/Oppna-utfragningar/Oppen- utfragning/?did=H1C220140624ou1 (hämtad 24 juni 2014).
16 Misstankar väcktes bland annat mot Tele2, se ovan nämnda utfrågning i riksdagen, 24 juni 2014, http://www.riksdagen.se/sv/Utskott-EU-namnd/Justitieutskottet/Oppna-utfragningar/Oppen-
utfragning/?did=H1C220140624ou1 (hämtad 24 juni 2014). Se även underrättelse från PTS om bristande uppfyllelse av bestämmelser om lagring av samt ersättning vid utlämnande av trafikuppgifter m.m. för
brottsbekämpande ändamål, 19 juni 2014,
http://www.pts.se/upload/Beslut/Telefoni/2014/Underr%C3%A4ttelse-14-4175.pdf(hämtad 23 juni 2014).
17 Europeiska unionens stadga om de grundläggande rättigheterna, hädanefter EU-stadgan.
18 Europeiska konventionen (4 november 1950) om skydd för de mänskliga rättigheterna och de grundläggande friheterna, hädanefter Europakonventionen.
intrånget på vem som har tillgång till uppgifterna? Svaret på den frågan beror till viss del på om man kan tolka EU-domstolens dom som så att det integritetsintrång som en generell datalagring innebär kan förminskas genom strikta regler om exempelvis tillgång till uppgifterna eller lagringstid för uppgifterna.
Metod och material 1.3
I denna uppsats tillämpas i huvudsak den rättsdogmatiska metoden. Den innebär att vid besvarande av juridiska frågeställningar används befintliga rättskällor för att klargöra innebörden av de rättsregler som är aktuella.19 Eftersom svensk rätt, EU-rätt och folkrätt berörs i uppsatsen bör rättskälleläran för alla dessa områden behandlas. Beträffande svensk rätt utgås i uppsatsen från en analys och en systematisering av gällande rätt såsom den finns beskriven i lagar, förarbeten, rättsfall och juridisk doktrin. EU-rätten blev svensk rättskälla i och med Sveriges medlemskap i EU.20 Dess rättskällelära består av skriven rätt, allmänna rättsprinciper, EU-domstolens praxis, andra rättsordningar samt doktrin.21 Fundamentet i EU-rätten är dess företräde framom nationell rätt, även grundlag.22 Samspelet mellan EU-rätten och den nationella rätten måste dock avgöras i den konkreta situationen.23 Inom folkrätten är artikel 38 (1) i stadgan för den internationella domstolen allmänt erkänd som den mest auktoritativa och fullständiga redogörelsen för folkrättens rättskällor.24 Den listar allmänna eller speciella internationella överenskommelser, internationell sedvänja, allmänna rättsgrundsatser samt rättsliga avgöranden och doktrin som folkrättens rättskällor.
I uppsatsen förekommer även material som inte är att hänföra till de klassiska rättskällorna, som exempelvis myndighetspublikationer, tidningsartiklar, rapporter, tal och pressmeddelanden. Det innebär att det i denna uppsats även har använts en bredare
19 För mera om den rättsdogmatiska metoden, se Kleineman, Rättsdogmatisk metod, i Korling &
Zamboni, s 21-45.
20 Lagen (1994:150) med anledning av Sveriges anslutning till Europeiska unionen.
21 Strömholm, Rätt, rättskällor och rättstillämpning. En bok i allmän rättslära, s 322.
22 Mål 6/64 Costa mot ENEL.
23 Det går inte att placera in EU-rätten i den nationella rättskällehierarkin utan att ta hänsyn till respektive rättsområde och de regler som gäller för detta, eftersom samverkan mellan de båda rättsordningarna i hög grad bygger på en kompetensfördelning mellan medlemsstaterna och EU, Strömholm, Rätt, rättskällor och rättstillämpning. En bok i allmän rättslära, s 330.
24 Se bland annat Crawford, Brownlie’s Principles of Public International Law, s 6 och Shaw, International Law, s 70.
och friare metod i jämförelse med den rättsdogmatiska metoden. Detta material har använts i syfte att fördjupa förståelsen i den rättsliga analysen och belysa ämnets samhällsförankring.
I uppsatsen utgår diskussionen från en genomgång av datalagringsdirektivet och nationell svensk rätt som är relevant för datalagring, främst lagen (2003:389) om elektronisk kommunikation (LEK), rättegångsbalken (1942:740) (RB) och lagen (2012:278) om inhämtning av uppgifter om elektronisk kommunikation i de brottsbekämpande myndigheternas underrättelseverksamhet (inhämtningslagen). I uppsatsen analyseras även EU-domstolens dom i de förenade målen C-293/12 och C- 594/12 av den 8 april 2014. De relevanta svenska bestämmelserna ställs mot skyddet för personlig integritet i EU-stadgan och Europakonventionen. Härigenom görs även en analys av rättspraxis från, i huvudsak, EU-domstolen och Europadomstolen.
Efter EU-domstolens dom lät det svenska Justitiedepartementet göra en utredning om konsekvenserna för svensk rätt av EU-domstolens dom,25 som av förklarliga skäl är ytterst relevant för förevarande uppsats och därmed beaktas, främst i avsnitt 6.
Avgränsning 1.4
I uppsatsen fokuseras på de bestämmelser som är relevanta för datalagring såsom de framkommer i LEK, RB och inhämtningslagen.26 Bestämmelserna ställs mot regleringen av skyddet för personlig integritet, privatlivet och personuppgifter såsom det ser ut i Europakonventionen och EU-stadgan, medan skyddet för personlig integritet såsom det ser ut i den svenska grundlagen inte behandlas. De svenska bestämmelsernas förenlighet med resten av EU-rätten, utöver EU-stadgan, undersöks inte heller.
25 Ds 2014:23.
26 Det finns även andra bestämmelser, som förvisso är relevanta för datalagring, men som inte behandlas i förevarande uppsats, exempelvis polisens och säkerhetspolisens behandling av personuppgifter enligt polisdatalagen (2010:361) och lagen (2010:262) om polisens allmänna spaningsregister. Lagen (1991:572) om särskild utlänningskontroll, lagen (2008:854) om åtgärder för att utreda vissa samhällsfarliga brott och lagen (2007:979) om åtgärder för att förhindra vissa särskilt allvarliga brott behandlas inte heller.
Skydd för andra grundläggande fri- och rättigheter än de nyss nämna kommer inte att behandlas.27 I uppsatsen fokuseras på de punkter EU-domstolen tagit upp i sin kritik mot datalagringsdirektivet. Eftersom EU-domen grundar sig på en helhetsbedömning av datalagringsdirektivet är det möjligt att domstolen även beaktat andra omständigheter.
Dessa eventuella andra omständigheter spekuleras dock inte i, även om ett helhetsperspektiv appliceras även i denna uppsats.
Disposition 1.5
Efter det inledande avsnittet, utreds i avsnitt 2 begreppet personlig integritet och vad som omfattas av skyddet för privatlivet och skyddet för personuppgifter, såsom det framkommer i Europakonventionen och EU-stadgan. Även EU-stadgans räckvidd och frågan huruvida den omfattar nationell lagstiftning diskuteras. Avsnitt 3 ägnas åt att gå igenom datalagringsdirektivet och sedan analyseras EU-domstolens dom av den 8 april 2014 i de förenade målen C-293/12 och C-594/12 i avsnitt 4. I avsnitt 5 görs en genomgång av det nationella svenska regelverket av relevans för datalagring. Vidare, i avsnitt 6, analyseras hur skyddet för privatliv och personuppgifter, i ljuset av EU- domstolens dom, beaktas i relevanta svenska regleringar för datalagring samt huruvida den svenska regleringen lever upp till kraven i Europakonventionen, EU-stadgan och EU-domstolens dom. Avslutande kommentarer görs i avsnitt 7.
27 Exempelvis yttrande- och informationsfrihet och mötes- och föreningsfrihet. Även rätten till familjeliv och rätten till hälsa har hävdats ha viss relevans i sammanhanget, se The right to privacy in the digital age, Report of the Office of the United Nations High Commissioner for Human Rights, 30 juni 2014, s 5.
2 Skyddet för den personliga integriteten
Allmänt 2.1
Den personliga integriteten och privatlivet är vaga begrepp som kan ha olika innebörd för olika människor och som dessutom ofta varierar över tid. Begreppet personlig integritet är ett samlingsnamn som hänvisar till en bred och brokig samling av relaterade saker.28 Om någon hävdar att den personliga integriteten borde skyddas är det ofta svårt att veta exakt vad den personen menar. Ibland skulle det vara önskvärt med ett mera detaljerat begrepp eftersom det generella begreppet kan resultera i en sammanblandning av olika typer av problem, och olika uppfattningar av innebörden av begreppet personlig integritet försvårar för domstolar och beslutsfattare att se de problem de ställs inför.29 Utan en förståelse för vad en kränkning av den personliga integriteten är, är det svårt att hantera dessa kränkningar på ett meningsfullt sätt.30
I litteraturen finns olika åsikter som vad som egentligen bör omfattas av ett skydd för den personliga integriteten. Ett synsätt argumenterar för att sådana trafikuppgifter som omfattas att datalagringsdirektivet inte bör omfattas av, i vart fall, ett grundlagsskydd för den personliga integriteten.31 Detta motiveras med att trafikuppgifter kan liknas med vad en person gör ute i det offentliga, exempelvis lämnar sitt hem, rör sig till olika platser och besöker olika personer. Ett annat exempel är att skicka brev, där trafikuppgifterna finns synligt på kuvertet. Att lagra trafikuppgifter skulle därför, enligt detta synsätt, inte medföra någon kränkning av den personliga integriteten eller privatlivet eftersom den informationen redan är offentlig.32
28 Solove använder sig av begreppet ”umbrella term”, Solove, A Taxonomy of Privacy, University of Pennsylvania Law Review, 2006, s 485. Soloves syn på personlig integritet är inget typiskt amerikanskt, utan ett liknande synsätt hittas även i Sverige, se SOU 2008:3, s 72 där det framkommer att rätten till skydd för privatlivet är mångfacetterad och omfattar skydd mot en mängd åtgärder och företeelser.
Rättighetens innebörd är svårdefinierad just för att privatlivet inte är något klart avgränsat begrepp.
29 Solove, A Taxonomy of Privacy, University of Pennsylvania Law Review, 2006, s 486.
30 Solove, A Taxonomy of Privacy, University of Pennsylvania Law Review, 2006, s 480.
31 Trafikuppgifter omfattas, enligt Kerr, i vart fall inte av skyddet för personlig integritet såsom det ser ut i den amerikanska grundlagen. Trafikuppgifter kan ändå komma att omfattas av vanlig lag, Kerr, Applying the Fourth Amendment to the Internet: A General Approach, Standford Law Review, 2010, s 1007-1008.
32 Kerr, Applying the Fourth Amendment to the Internet: A General Approach, Standford Law Review, 2010, s 1019-1022.
Även andra synsätt på vad som utgör en kränkning av den personliga integriteten samt huruvida trafikuppgifter omfattas av skyddet har presenterats i litteraturen. Denna sida argumenterar för att skydd för personlig integritet inte bara är en rättighet för enskilda, utan också en väsentlig del av det civila samhället. Skada på den personliga integriteten påverkar således både den enskilde och samhället i stort, och därför är det viktigt att den skyddas. Vidare är skadan beroende av hur och när intrånget sker.33 Olika kategorier av aktiviteter som medför ett integritetsintrång nämns och denna uppsats fokuserar på tre av dem som även kan appliceras på datalagring, nämligen: 1) insamlande av uppgifterna, 2) behandling av uppgifterna, 3) spridning av uppgifterna.34
Ett integritetsintrång sker vid alla dessa åtgärder, även vid insamlingen av uppgifterna.
Detta bekräftas bland annat av EU-domstolen som kritiserar kärnan i datalagringsdirektivet, nämligen själva lagringen av trafikuppgifter.35 Även i förarbetena till den svenska datalagringslagstiftningen uttalades att ett integritetsintrång sker då uppgifterna lagras eftersom det bidrar till enskilda personers upplevelse av att få sin privata sfär och frihet att kommunicera inskränkt. Lagring kan leda till att enskilda, i syfte att undvika att uppgifter registreras, avstår från att använda elektroniska kommunikationsmedel.36 Dock är det svårt att avgöra hur integritetskränkande själva insamlingen och lagringen är, utan insikt om hur tillgången till uppgifterna ser ut och användningen sker.37 Integritetsintrånget som skedde vid insamlandet av uppgifterna kan sägas fortsätta och till och med förstärkas om uppgifterna senare behandlas och exempelvis används i en brottsutredning.38 Behandling av de redan insamlade uppgifterna innebär identifiering av en person samt att uppgifter om denne person som i sig inte är särskilt känsliga, i kombination med många andra uppgifter, skapar en detaljerad bild av personen.39 Dessutom kan trafikuppgifterna behandlas mycket effektivare än innehållsbaserade uppgifter. Trafikuppgifter kan analyseras automatiskt, i kombination med andra uppgifter samt organiseras, och vara sökbara, enligt vissa
33 Solove, A Taxonomy of Privacy, University of Pennsylvania Law Review, 2006, s 487 f.
34 Solove, A Taxonomy of Privacy, University of Pennsylvania Law Review, 2006, s 488.
35 Förenade målen C-293/12 och C-594/12 Digital Rights Ireland och Seitlinger m.fl., p 57-58, se en närmare analys av domen nedan i avsnitt 4.
36 Prop. 2010/11:46, s 19 och prop. 2011/12:55, s 80. Se även Solove, A Taxonomy of Privacy, University of Pennsylvania Law Review, 2006, s 487 och 493 f.
37 Förslag till avgörande av generaladvokaten i mål C-293/12 och mål C-594/12, p 122.
38 Klamberg, FRA and the European Convention on Human Rights – A Paradigm Shift in Swedish Electronic Surveillance Law, Nordisk årsbok i rettsinformatikk, 2010, s 128. Se också prop. 2011/12:55, s 80.
39 Se bland annat Solove, A Taxonomy of Privacy, University of Pennsylvania Law Review, 2006, s 506 och 510.
kriterier. Därmed är det tydligt att tillgång till trafikuppgifter till och med kan vara mera känsligt och integritetskränkande än tillgång till innehållsbaserade uppgifter, och bör därför omfattas av ett skydd för personlig integritet.40
En viktig, men svår, fråga är alltså om en viss typ av behandling och spridning av trafikuppgifterna kan försvaga, alternativt förstärka, det integritetsintrång som sker vid själva insamlandet av uppgifterna. I litteraturen ges inget klart svar på den frågan även om det, som ovan beskrivits, har ansetts finnas olika aktiviteter som i sig medför ett integritetsintrång. Svaret verkar vara oklart även för EU-domstolen. Denna diskussion återkommer i avsnitt 6 gällande svensk datalagringslagstiftnings giltighet.
Europakonventionen 2.2
2.2.1 Allmänt
Europakonventionen utarbetades inom ramen för Europarådet.41 Den antogs 1950, trädde i kraft 1953, och tillämpas nu bland konventionsstaterna. Europakonventionen slår fast att de fri- och rättigheter som konventionsstaterna enats om ska vara tillförsäkrade varje person som befinner sig under deras jurisdiktion, oberoende av medborgarskap.42 Europakonventionen är främst avsedd att tillämpas genom att konventionsstaterna ser till att deras lagstiftning överensstämmer med konventionens krav. Även statens egna domstolar och myndigheter ska iaktta konventionens krav i sin regeltillämpning. Europakonventionen inkorporerades i svensk rätt år 1995 och har grundlagsförankring och ställning såsom lag i Sverige.43 Därför ska konventionen tillämpas direkt av svenska domstolar och myndigheter. Det är ändå den europeiska domstolen för de mänskliga rättigheterna, Europadomstolen, som har sista ordet i alla
40 Breyer, Telecommunications Data Retention and Human Rights: The Compability of Blanket Traffic Data Retention with the ECHR, European Law Journal, 2005, s 370 f. Se även Klamberg, FRA and the European Convention on Human Rights – A Paradigm Shift in Swedish Electronic Surveillance Law, Nordisk årsbok i rettsinformatikk, 2010, s 100.
41 Europarådet upprättades år 1949 och är en från EU helt fristående mellanstatlig organisation, placerad i Strasbourg. Medlemskretsen består av 47 stater, bland annat EU:s medlemsstater, Turkiet och alla stater som ingick i det gamla Sovjetunionen.
42 Artikel 1 Europakonventionen.
43 2 kap 19 § regeringsformen. Se även SOU 1993:40 del B och prop. 1993/94:117. Inkorporeringen skedde genom lagen (1994:1219) om den europeiska konventionen angående skydd för de mänskliga rättigheterna och grundläggande friheterna.
frågor som rör tolkningen och tillämpningen av konventionen och dess 14 tilläggsprotokoll.44
2.2.2 Europakonventionen artikel 8 – rätt till skydd för privat- och familjeliv
Gällande datalagring är artikel 8 om rätten till skydd för privat- och familjeliv av störst relevans: Artikel 8 lyder:
1. Var och en har rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens.
2. Offentlig myndighet får inte inskränka åtnjutande av denna rättighet annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till statens säkerhet, den allmänna säkerheten, landets ekonomiska välstånd eller till förebyggande av oordning eller brott eller till skydd för hälsa eller moral eller för andra personers fri- och rättigheter.
Den rättighet som artikeln skyddar, nämligen skyddet för privatlivet, formuleras i det första stycket medan andra stycket beskriver förutsättningarna för inskränkningar en stat kan göra i rättigheten. Skyddet för privat- och familjelivet innebär främst en negativ förpliktelse för staten att avhålla sig från ingrepp i den skyddade rättigheten, men skyddet omfattar även en förpliktelse för staten att vidta positiva åtgärder för att skydda den enskildes privatsfär.45
I artikel 8 nämns fyra olika rättigheter som alla omfattas av skyddet för den personliga integriteten; privatlivet, familjelivet, en persons hem och korrespondens. Tillsammans formar de en omfattande garanti för individens frihet, och ett strikt åtskiljande mellan dem är inte nödvändig.46 Någon uttömmande definition av begreppen privatliv, familjeliv, hem och korrespondens är enligt Europadomstolen varken möjligt eller
44 Artikel 19 och 32 Europakonventionen.
45 Se exempelvis Marckx mot Belgien, mål nr 6833/74, dom den 13 juni 1979, p 31. Se också Danelius, Mänskliga rättigheter i europeisk praxis, s 347.
46 Sökande behöver bara hävda en kränkning av artikel 8, utan att specificera vilken av rättigheterna det rör sig om i det enskilda fallet, Grabenwarter, European Convention on Human Rights, s 184 och 186.
nödvändigt att försöka sig på.47 Praxis gällande artikel 8 är dock omfattande och ger en fingervisning om artikelns omfattning. Europadomstolen har ansett att skyddet i artikel 8 (1) omfattar bland annat information som samlats in vid telefonavlyssning och hemlig övervakning.48 Det inkluderar information om uppringda telefonnummer, telefonsamtalets datum och längd, samt utlämnande av informationen till statliga myndigheter. Det samma gäller för e-postadresser. Europadomstolen har motiverat detta skydd med att sådana uppgifter utgör en väsentlig del av den kommunikation som enskilda har med varandra.49
Även om staten har brutit mot förbudet mot ingrepp enligt artikel 8 första stycket kan ingreppet rättfärdigas om det omfattas av undantagsbestämmelsen i samma artikels andra stycke. Tre villkor måste vara uppfyllda för att ett ingrepp ska vara förenligt med andra stycket och därmed legitim. Ingreppet måste:
a) vara föreskrivet i lag,
b) syfta till att tillgodose något av de allmänna eller enskilda intressena i andra stycket (statens säkerhet, den allmänna säkerheten, landets ekonomiska välstånd, förebyggande av oordning eller brott, skydd för hälsa eller moral, skydd för andra personers fri- och rättigheter), och
c) vara nödvändigt i ett demokratiskt samhälle för att tillgodose något av de uppräknade intressena.
Det första villkoret, kravet på lagenlighet, innebär att inskränkningen måste ha stöd i nationell lag. Lagen måste även vara tillgänglig för allmänheten och utformad med tillräcklig precision, så att inskränkningen i skyddet för privatlivet är förutsebar.50 Kravet på förutsebarhet innebär att den som bestämmelsen riktar sig mot ska veta vad denna förväntas göra, eller inte göra, samt vilka konsekvenser som kan följa av ett visst
47 Niemietz mot Tyskland, mål nr 13710/88, dom den 16 december 1992,p 29.
48 Klass m.fl. mot Tyskland, mål nr 5029/71, dom den 6 september 1978, p 41.
49 Copland mot Förenade kungariket, mål nr 62617/00, dom den 3 april 2007, p 43-44, Malone mot Förenade kungariket, mål nr 8691/79, dom den 26 april 1985, p 84 och Kennedy mot Förenade kungariket, mål nr 26839/05, dom den 18 maj 2010, p 118.
50 Se exempelvis Malone mot Förenade kungariket, p 68, Kruslin mot Frankrike, mål nr 11801/85, dom den 24 april 1990, p 33, Kopp mot Schweiz, mål nr 23224/94, dom den 25 mars 1998 p 64 och 72, Amann mot Schweiz, mål nr 27798/95, dom den 16 februari 2000, p 56 samt Weber och Saravia mot Tyskland, mål nr 54934/00, dom den 29 juni 2006, p 93.
beteende.51 Varje enskild övervakningsåtgärd ska således vara förenlig med strikta lagstadgade villkor och tillvägagångssätt.52 Kravet på förutsebarhet är inte lika strikt då det kommer till avlyssning som används för brottsutredningar, men kravet på lagens kvalitet, exempelvis gällande tillräcklig precision, är desto högre då makten utövas i hemlighet.53 Dessutom måste det finnas någon typ av oberoende kontrollmekanism i form av en domstol eller motsvarande organ för att kompensera den bristande förutsebarheten.54 Datalagringen är reglerad relativt detaljerat i svensk lagstiftning.
Dessutom är den förutsebar eftersom det är tydligt att alla trafikuppgifter lagras under en viss tidsperiod. Viss tveksamhet föreligger dock om de svenska reglerna lever upp till kravet på oberoende kontroll. De svenska reglerna av relevans för datalagring diskuteras mera ingående nedan, men det kan ändå redan nu konstateras att inskränkningen i artikel 8 Europakonventionen i Sverige, i vart fall gällande förutsebarheten, torde vara legitim enligt den första punkten i artikeln.55
De allmänna eller enskilda intressena i andra stycket räknas som legitima ändamål för att få inskränka rättigheten i det första stycket. Dessa ändamål är omfattande och allmänt formulerade och därför är det i de flesta fall möjligt att hänföra ett ingrepp till någon av kategorierna.56 Gällande svensk datalagringslagstiftning kan både nationell säkerhet och brottsbekämpning anses vara legitima ändamål, då datalagringen syftar till att utreda och bekämpa brottslighet.
Det tredje villkoret, att inskränkningen ska vara nödvändig, är i många fall svårt att avgöra. Inskränkningen måste stå i rimlig proportion till det legitima ändamål som ska tillgodoses genom inskränkningen.57 Denna proportionalitetsprincip innebär att det bör finnas en rimlig balans mellan den enskildes och samhällets intressen för att inskränkningen ska kunna anses nödvändig i ett demokratiskt samhälle. En avvägning bör alltså, i detta fall, göras mellan å ena sidan samhällets intresse av att samla in informationen och å andra sidan den enskildes intresse att skydda ifrågavarande
51 The Sunday Times mot Förenade kungariket, mål nr 6538/74, dom den 26 april 1979, p 49.
52 Klass m.fl. mot Tyskland, p 43.
53 Klass m.fl. mot Tyskland, p 58 och Weber och Saravia mot Tyskland, p 135. Se även Leander mot Sverige, mål nr 9248/81, dom den 26 mars 1987, p 66.
54 Klass m.fl. mot Tyskland, p 55-56, Rotaru mot Rumänien, mål nr 34325/07, dom den 10 november 2008, p 59, Weber och Saravia mot Tyskland, p 117-118.
55 Se avsnitt 5 nedan.
56 Danelius, Mänskliga rättigheter i europeisk praxis, s 351.
57 Danelius, Mänskliga rättigheter i europeisk praxis, s 351.
informations konfidentialitet. Det går inte att göra ett allmänt uttalande om hur avvägningen bör se ut, utan det måste avgöras in casu, i det enskilda fallet. Dock har Europadomstolen fastslagit att det krävs att en inskränkning ska korrespondera med ett
”angeläget samhälleligt behov”.58 Varje stat har även en viss frihet, en så kallad ”margin of appreciation”, att själv avgöra om en inskränkning är nödvändig.59 Friheten motiveras med att olika samhällen har olika syn på vissa grundläggande rättigheter samt att denna syn kan förändras drastiskt över tid.60 Denna ”margin of appreciation” varierar beroende på ändamålet med och vikten av det ingrepp som prövas, graden av samstämmighet som finns i konventionsstaternas nationella regler på området samt karaktären av rättigheten i fråga.61 Europadomstolen har uttalat att det vanligtvis föreligger en bredare ”margin of appreciation” då det kommer till frågor om moral, positiva förpliktelser, förutsebar fara för allmän säkerhet och då akuta åtgärder krävs samt gällande nationell säkerhet.62 I dessa fall rör det sig om ett intresse av ofta fundamental betydelse för varje konventionsstat. Inskränkningarna måste ändå vara proportionerliga och det är Europadomstolen som i slutändan avgör om så är fallet.63 EU-domstolen uttalade i domen om datalagringsdirektivet att utrymmet för EU- lagstiftaren för en skönsmässig bedömning i det fallet var begränsat och en strikt kontroll skulle göras, med hänsyn till den stora betydelse som skyddet för personuppgifter har för den grundläggande rätten till respekt för privatlivet och med hänsyn till det långtgående och allvarliga ingrepp i den rätten som datalagringsdirektivet innebär.64 Det är främst den här sista punkten, angående proportionaliteten, som är väsentlig för denna uppsats. Denna faktor kommer därför diskuteras mera i avsnitt 6 nedan.
58 Den engelska termen som Europadomstolen använder är ”pressing social need”, Handyside mot Förenade kungariket, mål nr 5493/72, dom den 7 december 1976, p 48.
59 Danelius översätter ”margin of appreciation” till ”diskretionär prövningsrätt” på svenska, Danelius, Mänskliga rättigheter i europeisk praxis, s 52.
60 Cameron, An Introduction to the European Convention on Human Rights, s 108 f.
61 Cameron, An Introduction to the European Convention on Human Rights, s 114.
62 Cameron, An Introduction to the European Convention on Human Rights, s 114.
63 Danelius, Mänskliga rättigheter i europeisk praxis, s 351.
64 Förenade målen C-293/12 och C-594/12 Digital Rights Ireland och Seitlinger m.fl, p 48.
EU-stadgan 2.3
2.3.1 Allmänt
EU-stadgan tillkom år 2000 som ett juridiskt icke-bindande dokument. Den blev bindande rätt genom Lissabonfördraget som också gav EU-stadgan status av primärrätt.65 Av artikel 6 (1) fördraget om Europeiska unionen (FEU) följer att EU- stadgan har samma rättsliga status som fördragen. EU-stadgan fungerar därför i sak som en tredje del av fördragsverket vid sidan av FEU och fördraget om Europeiska unionens funktionssätt (FEUF). EU-stadgan riktar sig till EU:s institutioner och till medlemsstaterna till den del deras domstolar och andra organ tillämpar EU-rätt,66 vilket är fallet så snart som nationell lagstiftning omfattas av EU-rättens tillämpningsområde.67 EU-stadgan blir alltså tillämplig i den mån en rättsfråga har en EU-aspekt, något som dock ofta kan vara fallet.68 Då är medlemsstaterna skyldiga att ge EU-stadgans rättigheter effektivt genomslag och de rättigheter som tydligt slås fast i EU-stadgan kan tillämpas omedelbart enligt EU-rättens princip om direkt effekt.69
Den svenska lagstiftningen om datalagring bygger på datalagringsdirektivet, men i och med att datalagringsdirektivet ogiltigförklarats och därmed inte längre kan anses existera, kan det tyckas att den svenska datalagringslagstiftningen har tappat sin EU- aspekt. Dock måste svensk datalagringslagstiftning även fortsättningsvis förhålla sig till, och vara förenlig med, EU-domstolens datalagringsdom.70 Detta för med sig att EU- aspekten ändå alltjämt är aktuell.
2.3.2 EU-stadgan artikel 7 – respekt för privatlivet och familjelivet
En artikel i EU-stadgan av stor relevans för förevarande uppsats är artikel 7 om respekten för privatlivet och familjelivet. Rättigheterna som garanteras i artikel 7 EU-
65 Den primära EU-rätten består framför allt av de grundläggande fördragen (FEU, FEUF och EU- stadgan) samt de till fördragen knutna protokoll, förklaringar och anslutningsfördrag. Till sekundärrätten hör främst förordningar, direktiv och beslut, Bernitz & Kjellgren, Europarättens grunder, s 28.
66 Artikel 51 (1) EU-stadgan.
67 Mål C-617/10 Åkerberg Fransson, p 21.
68 Bernitz & Kjellgren, Europarättens grunder, s 129.
69 Bernitz & Kjellgren, Europarättens grunder, s 131.
70 Se vidare avsnitt 4.4 nedan.
stadgan korresponderar med rättigheterna som garanteras i artikel 8 Europakonventionen.71 Med hänsyn till teknikutvecklingen har emellertid ordet
”korrespondens” bytts ut mot ”kommunikationer.”72 Artikel 7 EU-stadgan lyder:
Var och en har rätt till respekt för sitt privatliv och familjeliv, sin bostad och sina kommunikationer.
I EU-stadgan framkommer att sådana rättigheter som motsvarar de som garanteras i Europakonventionen ska ha samma innebörd och räckvidd som rättigheterna i konventionen.73 Eftersom artikel EU-stadgan bygger på artikel 8 Europakonventionen kan viss härledning därmed tas från Europadomstolens praxis gällande artikel 8 Europakonventionen.74 I artikel 52 (3) EU-stadgan framkommer nämligen att:
I den mån som denna stadga omfattar rättigheter som motsvarar sådana som garanteras av europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna ska de ha samma innebörd och räckvidd som i konventionen. Denna bestämmelse hindrar inte unionsrätten från att tillförsäkra ett mer långtgående skydd.
I tolkningen av artikel 7 tar EU-domstolen hänsyn till Europadomstolens tolkning av artikel 8 Europakonventionen. Ett exempel är att EU-domstolen tidigare haft en snäv syn på definitionen av privatliv och hem då ett sådant skydd enligt EU-domstolen inte innefattade affärslokaler.75 Europadomstolen har däremot i sin praxis haft en bredare definition på privatliv och hem, som även omfattar juridiska personer och ett företags huvudkontor, filialer eller andra affärslokaler.76 EU-domstolen anpassade sig till Europadomstolens tolkningar och har nu uttalat, med hänvisning till artikel 7 EU- stadgan, att behovet av skydd mot godtyckliga eller oproportionerliga ingripanden från offentliga myndigheter när det gäller privata åtgärder av alla personer, fysiska eller
71 Se avsnitt 2.2.2 ovan.
72 Peers m.fl., The EU Charter of Fundamental Rights, s 153.
73 Artikel 52 (3) EU-stadgan.
74 Explanations relating to the Charter of Fundamental Rights, Official Journal of the European Union, 2007/C 303/02 och Peers m.fl., The EU Charter of Fundamental Rights, s 155.
75 Se exempelvis de förenade målen C-46/87 och C-227/88 Hoechst mot kommissionen, p 17-18.
76 Niemietz mot Tyskland, p 29-31, Société Colas Est m.fl. mot Frankrike, mål nr 37971/97, dom den 16 april 2002, p 40-41. Se även Bock mot Tyskland, mål nr 41604/98, dom den 28 april 2005, p 31 och Association for European Integration and Human Rights och Ekimdzhiev mot Bulgarien, mål nr 62540/00, dom den 28 juni 2007, p 60.
juridiska, utgör en allmän princip inom EU-rätten.77 EU-domstolens anpassning till Europadomstolens praxis stämmer väl överens med att rättigheter i EU-stadgan ska ha samma innebörd och räckvidd som motsvarade rättighet i Europakonventionen.78 Härmed torde det inte finnas några oklarheter om att en generell datalagring, som är ett intrång i respekten enligt artikel 8 Europakonventionen, även är det enligt artikel 7 EU- stadgan.
Artikel 7 EU-stadgan skiljer sig dock från artikel 8 Europakonventionen eftersom artikel 7 inte innehåller ett andra stycke med undantagsbestämmelser. Istället ska artikel 7 läsas i kombination med artikel 52 (1) EU-stadgan gällande rättigheternas tolkning och räckvidd. I artikel 52 (1) framkommer de begränsningar som kan göras av respekten för privatliv och familjeliv. Artikel 52 (1) EU-stadgan lyder:
Varje begränsning i utövandet av de rättigheter och friheter som erkänns i denna stadga ska vara föreskriven i lag och förenlig med det väsentliga innehållet i dessa rättigheter och friheter. Begränsningar får, med beaktande av proportionalitetsprincipen, endast göras om de är nödvändiga och faktiskt svarar mot mål av allmänt samhällsintresse som erkänns av unionen eller behovet av skydd för andra människors rättigheter och friheter.
De legitima inskränkningarna i rättigheterna garanterade av artikel 7 motsvarar till stor del de som är tillåtna enligt andra stycket av artikel 8 Europakonventionen, eftersom begränsningen ska vara föreskriven i lag, proportionerlig samt svara mot mål av allmänt samhällsintresse. Därutöver, vilket skiljer sig från artikel 8 Europakonventionen, ska begränsningen vara förenlig med det väsentliga innehållet i de rättigheter som berörs.
Eftersom rättigheterna i EU-stadgan ska ha samma räckvidd och innebörd som motsvarande rättighet i Europakonventionen, torde eventuella skillnader mellan skyddet i bestämmelserna ändå inte medföra olika tolkningar och därmed inte heller vara märkbara i praktiken.79
77 Mål C-94/00 Roquette Frères, p 27 och mål T-135/09 Nexans France SAS och Nexans mot kommissionen, p 40.
78 Artikel 52 (3) EU-stadgan.
79 González Fuster, The Emergence of Personal Data Protection as a Fundamental Right of the EU, s 201.
2.3.3 EU-stadgan artikel 8 – skydd av personuppgifter
I EU-stadgan finns, förutom skyddet för privatliv, även ett specifikt skydd för personuppgifter i artikel 8. Grunden för skyddet av personuppgifter ligger i rätten till privatlivet och därför är artikel 8 är nära kopplad till artikel 7 EU-stadgan. Trots detta bör rättigheterna inte ses som en och samma. EU-stadgan är unik bland de internationella instrumenten för mänskliga rättigheter, eftersom den erkänner rätten till skydd för personuppgifter som en rättighet skild från rätten till privatlivet.80 Artikel 8 EU-stadgan lyder:
1. Var och en har rätt till skydd av de personuppgifter som rör honom eller henne.
2. Dessa uppgifter ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få rättelse av dem.
3. En oberoende myndighet ska kontrollera att dessa regler efterlevs.
Artikel 8 är baserad bland annat på artikel 16 FEUF och artikel 39 FEU,81 dataskyddsdirektivet82 samt artikel 8 Europakonventionen.83 Därför kan ledning tas från dessa bestämmelser gällande tolkningen av skyddet för personuppgifter.84 Det bör dock påpekas att artikel 8 EU-stadgan bara är baserad på artikel 8 Europakonventionen, och är alltså inte en motsvarande rättighet på samma sätt som artikel 7 EU-stadgan.
Följaktligen är artikel 52 (3) inte heller tillämplig på samma sätt. Istället bör skyddet för
80 Peers m.fl., The EU Charter of Fundamental Rights, s 228.
81 Artikel 16 FEUF och artikel 39 FEU ersatte den tidigare artikeln 286 i fördraget om upprättandet av Europeiska gemenskapen. Artiklarna föreskriver bland annat att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. Dessutom ska europaparlamentet (artikel 16 FEUF) och rådet (artikel 16 FEUF och 39 FEU) anta bestämmelser om skydd för enskilda personer i fråga om behandling av personuppgifter i EU-institutioner (artikel 16 FEUF) och i medlemsstaterna (artikel 16 FEUF och artikel 39 FEU) samt om den fria rörligheten av sådana uppgifter. Oberoende myndigheter ska kontrollera att dessa bestämmelser följs.
82 För mera om dataskyddsdirektivet, se avsnitt 3.1 nedan.
83 Explanations relating to the Charter of Fundamental Rights, Official Journal of the European Union, 2007/C 303/02. Se även artikel 52 (3) EU-stadgan.
84 Artikel 8 EU-stadgan bygger även på Europarådets konvention om dataskydd, Convention 108 (Convention on 8 January 1981 of the Council of Europe for the protection of individuals with regard to automatic processing of personal data). Betydelsen av denna konvention har dock minskat för EU:s medlemsstater efter ikraftträdandet av dataskyddsdirektivet, Peers m.fl., The EU Charter of Fundamental Rights, s 238.
personuppgifter utövas enligt de villkor som framkommer i dataskyddsdirektivet.85 Det torde dock inte föreligga något tvivel om att trafikuppgifter är uppgifter som kan ge mycket precisa slutsatser om en persons privatliv, varför dessa typer av uppgifter bör klassas som personuppgifter.86
Artikel 8 EU-stadgan skiljer sig från artikel 7 EU-stadgan i och med att det i artikel 8 (2) föreskrivs vissa undantagsbestämmelser för när en behandling av personuppgifter ändå kan anses vara tillåten. Personuppgifter får behandlas om det föreligger samtycke från den berörda personen. Uppgifterna får ändå behandlas, utan samtycke, om någon annan legitim och lagenlig grund föreligger.87 Samtycket ska enligt dataskyddsdirektivet vara otvetydigt, vilket innebär varje slag av frivillig, särskild och informerad viljeyttring genom vilken den registrerade godtar behandling av personuppgifter som rör honom.88 Dataskyddsdirektivet innehåller även i artikel 7 en vidare utveckling av de legitima grunderna som tillåter en behandling. Enligt artikeln ska behandlingen av uppgifterna även vara nödvändig, vilket enligt EU-domstolen innebär att det finns en skyldighet att beakta mindre inkräktande åtgärder.89
Det är också viktigt för den berörda personen att det är klart och tydligt vad som har hänt, händer och kommer att hända med personuppgifterna. Transparensen av behandlingen av uppgifterna är en del av det som utgör en lagenlig behandling som avses i artikel 8 EU-stadgan.90 Det finns dock undantag från skyldigheten att informera den berörda personen och det gäller speciellt för brottsbekämpande verksamhet då förhandsinformation till den berörda personen kan underminera en utredning.91 Europadomstolen har, som ovan nämnts, uttalat att brist på transparens i sådana fall ska kompenseras med klara och detaljerade regler för när hemliga utredningar kan göras92
85 Explanations relating to the Charter of Fundamental Rights, Official Journal of the European Union, 2007/C 303/02.
86 Förenade målen C-293/12 och C-594/12 Digital Rights Ireland och Seitlinger m.fl, p 27 och 36.
87 Till skillnad från så kallad informationssjälvbestämmande (informational self-determination) som antyder att samtycke till behandling av uppgifter är en förutsättning till lagenlig behandling, se Peers m.fl., The EU Charter of Fundamental Rights, s 229.
88 Artikel 2 (h) dataskyddsdirektivet.
89 Förenade målen C-92/09 och C-93/09 Volker und Markus Schecke och Eifert, p 86.
90 Denna rätt att kunna ta del av sina egna personuppgifter har länge erkänts i Europakonventionen som en del av rätten till privatliv enligt artikel 8, se ovan avsnitt 2.2.2.
91 Se artikel 13 dataskyddsdirektivet och Peers m.fl., The EU Charter of Fundamental Rights, s 256.
92 Weber och Saravia mot Tyskland, p 93.
