Sak C-101/01

EF-domstolen: Personopplysninger på hjemmesider omfattes av personverndirektivet

EF-domstolen har i en lovtolkningssak slått fast at privatpersoners hjemmesider med opplysninger om andre personer omfattes av personverndirektivet. En konsekvens av denne tolkningen innebærer at flere hjemmesider på Internett som Datatilsynet til nå har sett på som rent private, omfattes av direktivet, og dermed også av personopplysningsloven.

Bakgrunnen for saken
Bodil Lindqvist jobbet med forberedelse av konfirmanter i et kirkesogn i Sverige. I den forbindelse opprettet hun en hjemmeside på Internett for å gjøre det lett for menighetsmedlemmer å få tak i nyttig informasjon. Sidene inneholdt opplysninger om Lindqvist selv og flere av hennes kolleger i sognet; blant annet ble navn, arbeidsoppgaver og fritidsinteresser nevnt. Det ble også opplyst at en kvinnelig kollega hadde skadet foten og var delvis sykmeldt. Ingen av de ansatte hadde fått informasjon om siden, eller fått anledning til å samtykke i publiseringen på forhånd. Noen av de andre ansatte ble fornærmet over dette, og Lindqvist anmeldte seg selv til politiet for å få en gjennomgang av lovligheten av sine handlinger.
Lindqvist ble i Eksjö tingsrätt dømt til bøter for overtredelse av den svenske personuppgiftslagen, blant annet for å ha behandlet personopplysninger elektronisk uten å ha sendt melding til Datainspektionen, behandlet sensitive personopplysninger uten at vilkårene for det forelå, samt for å ha overført opplysningene til tredjeland.

Saken ble anket inn for Göta Hovrätt. Hovretten forela EF-domstolen spørsmålet om hvorvidt Lindqvists handlinger var i strid med bestemmelsene i EUs personverndirektiv som Sverige og Norge er bundet av.

Personlige eller private forhold?
Direktivet åpner for at privatpersoners behandling av opplysninger som ledd i rent personlige eller familiemessige aktiviteter kan falle utenfor direktivets virkeområde. Den samme avgrensningen finner vi i den norske personopplysningsloven der det heter: Loven gjelder ikke behandling av personopplysninger som den enkelte foretar for rent personlige eller andre private formål.

Domstolen fastslo at denne bestemmelsen utelukkende omfatter de aktiviteter som inngår i den enkeltes privat- eller familieliv. Dette, mente domstolen, var åpenbart ikke tilfelle ved behandling av personopplysninger som innebar en offentliggjøring på Internett, der personopplysningene ble tilgjengelige for et ubestemt antall personer.

En konsekvens av EF-domstolens tolkning er at de som lager private hjemmesider med opplysninger om andre personer må forholde seg til reglene i personopplysningsloven.

Forholdet til ytringsfriheten
Domstolen vurderte også hvorvidt personverndirektivet på dette området er i strid med prinsippet om ytringsfrihet. Domstolen mente at det ikke er i strid med ytringsfrihetsprinsippet slik det er nedfelt i EMK artikkel 10. Domstolen kom frem til at grensen mellom ytringsfrihet og personvern i det enkelte tilfelle må trekkes opp av nasjonale myndigheter og domstoler: De nasjonale domstolene skal bruke de nasjonale bestemmelsene til gjennomføring av direktivet, og sikre en rettferdig balanse. Den enkeltes rett til ytringsfrihet må i denne sammenhengen veies opp mot de registrertes rett til personvern.

Overføring av personopplysninger til tredjeland
Domstolen vurderte også om en publisering av personopplysninger på en hjemmeside i et medlemsland innebar en overføring av opplysninger til tredjeland. Personverndirektivet inneholder bestemmelser som skal sikre medlemsstatenes kontroll med utlevering av opplysninger til andre land. Domstolen kom frem til at det faktum at opplysningene var tilgjengelige for personer i tredjeland ikke ville si det samme som at de var utlevert til tredjeland.

Som en konsekvens av dette vil publisering av personopplysninger på Internett på en server som ligger innen EU/EØS-området ikke innebære en overføring til utlandet i personopplysningslovens betydning.

Sammenfatningsvis:
Å legge ut bilder på Internet kan være ulovlig, men trenger ikke være det. Dersom den som er avbildet har samtykket er det tillatt. Dersom det ikke foreligger noe samtykke så er det nødvendig å skille mellom situasjonsbilder og portrettbilder.

Situasjonsbilder
Situasjonsbilder kan defineres som bilder der selve situasjonen eller aktiviteten er det egentlige formålet med bildet. Akkurat hvem som er med på bildet er da mindre viktig enn hovedinnholdet i bildet. Eksempler på dette kan være en gruppe mennesker på en konsert, et idrettsarrangement og for eksempel fra en konkurranse på Byneset Golfbane, 17. mai-tog, eller hendelser som har allmenn interesse.
Utgangspunktet her er at situasjonsbilder kan offentliggjøres uten samtykke fra de avbildede så lenge bildene er harmløse og ikke på noen måte er krenkende for de som er avbildet.

Portrettbilder
Her er hovedformålet å avbilde en eller flere bestemte personer. Hovedregelen er da at man alltid skal ha samtykke fra de avbildede før bildet legges ut på nett