En 36-årig svensk man boende på Cypern har under en tid varit kund hos Swedbank AB och där haft ett betalkonto. Den 15 juli 2020 sa Swedbank emellertid upp avtalet med honom med hänvisning till att banken inte kunnat uppnå en fullständig kundkännedom.
I det nu aktuella målet har 36-åringen väckt talan mot Swedbank och yrkat att banken ska förpliktas att i första hand återställa hans numera nedstängda betalkonto och i andra hand tillhandahålla honom ett nytt betalkonto. I målet har han även yrkat att Swedbank ska förpliktas förse honom med kopior av inspelade telefonsamtal mellan honom och banken.
Det är ostridigt i målet att 36-åringen fått registerutdrag samt del av transkriberade telefonsamtal och fått möjlighet att lyssna på aktuella inspelningar på plats hos Swedbank.
Stockholms tingsrätt bedömde att det med hänsyn till processekonomiska aspekter var lämpligt att pröva yrkandet om att Swedbank ska förpliktas förse honom med kopior av inspelade telefonsamtal i deldom med stöd av 17 kap. 4 § rättegångsbalken.
Tingsrätten konstaterade inledningsvis att EU-rätten har direkt effekt i Sverige och bestämmelserna kan göras gällande av enskild inför domstol eller annan myndighet. För att en bestämmelse ska ha direkt effekt förutsätts att den innehåller en bindande rättslig förpliktelse, och därmed korresponderande rättighet, samt att den uppfyller de kriterier avseende tydlighet, precision och ovillkorlighet som utvecklats i EU-domstolens praxis (se Bernitz och Kjellgren; Europarättens grunder, JUNO version 6, s. 114f).
36-åringens yrkande grundar sig på artikel 15 punkten 3 dataskyddsförordningen. Enligt denna ska den personuppgiftsansvarige på begäran av den registrerade förse honom eller henne med en kopia av de personuppgifter som är under behandling hos den personuppgiftsansvarige. Tingsrätten fann att bestämmelsen innehåller en bindande rättslig förpliktelse för Swedbank och att denna är så tydlig, preciserad och ovillkorlig att 36-åringen kan göra den gällande gentemot Swedbank inför domstol. Tingsrätten fann därmed att yrkandet hade laga grund och kunde leda till bifall.
36-åringen har fått del av registerutdrag. Han har fått möjlighet att lyssna på de aktuella inspelningarna vilket han också gjort i ett fall som var ett för tvisten centralt samtal. Vidare har han fått samtalen transkriberade.
Mot denna bakgrund menade tingsrätten att Swedbank inte är skyldigt att också förse honom med kopior av de aktuella inspelningarna. Yrkandet skulle därför ogillas.
Svea hovrätt konstaterar att artikel i 79 i dataskyddsförordningen förutsätter att det kan förekomma parallell behörighet för domstol och tillsynsmyndighet. Bestämmelsen torde främst ta sikte på skadestånd och andra korrigerande åtgärder. Även en vägran att ge tillgång till personuppgifter enligt artikel 15 måste dock anses kunna utgöra en sådan behandling av personuppgifter i strid med förordningen som avses i artikel 79 (se även Öman, Dataskyddsförordningen (GDPR) m.m., 2021, s. 606). En sådan tolkning får anses förenlig med definitionen av begreppet "behandling" i artikel 4.2 och dess exemplifierande uppräkning av åtgärder. Tolkningen ligger också i linje med skäl 141 till förordningen där det anges att den registrerade ska ha tillgång till ett effektivt rättsmedel i enlighet med artikel 47 i Europeiska unionens stadga om de grundläggande rättigheterna om denne anser att hans eller hennes rättigheter enligt förordningen har kränkts.
Hovrättens slutsats är att allmän domstol är behörig att pröva tvisten.
Ska kopia av ljudfiler med inspelade telefonsamtal lämnas ut? Enligt artikel 15.1 i dataskyddsförordningen ska den registrerade ha rätt att av den personuppgiftsansvarige få bekräftelse på huruvida personuppgifter som rör honom eller henne håller på att behandlas och i så fall fa tillgång till personuppgifterna och information om bland annat ändamålen med behandlingen, rätten att begära rättelse eller radering av personuppgifterna samt rätten att inge klagomål till en tillsynsmyndighet.
Artikel 15 i dataskyddsförordningen måste —liksom dess föregångare i artikel 12 i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (personuppgiftsskyddsdirektivet) – ses mot bakgrund av de rättigheter som den avser att skydda, särskilt rätten till privatliv i samband med behandling av personuppgifter. EU-domstolen har beträffande artikel 12 i personuppgiftsdirektivet uttalat att rätten till tillgång är nödvändig för att den registrerade ska kunna kontrollera att personuppgifterna behandlas korrekt och lagligt och också, i förekommande fall, kunna få uppgifter rättade, blockerade eller raderade (YS m.fl., punkterna 44,46,47 och 57).
Kundens rätt enligt dataskyddsförordningen till tillgång till personuppgifter handlar således inte om att han ska kunna kontrollera om banken har utfört sin riskbedömning för penningtvätt eller liknande på ett korrekt sätt, utan om hans intresse av att hans personuppgifter behandlas lagligt och korrekt. Artikel 15.3 i förordningen om rätten till en kopia avser att säkerställa detta intresse och sträcker sig inte längre än så. Kunden har således rätt till en kopia av personuppgifterna i sådan form att han kan utöva sina rättigheter enligt dataskyddsförordningen.
Frågan är då vilka av mannen personuppgifter som är under behandling hos Swedbank och vilken form en kopia av dessa ska ha. Av artikel 4.1 i dataskyddsförordningen framgår att upplysningar som avser en identifierad eller identifierbar fysisk person, det vill säga den registrerade, utgör en personuppgift.
EU-domstolen har slagit fast att en bild utgör en personuppgift om det är möjligt att identifiera den berörda personen (se dom den 11 december 2014, Rynes, C-212/13, EU:C:2014:2428, punkt 22). EU-domstolen har gjort motsvarande bedömning avseende en upptagning med bild och ljud (se dom den 14 februari 2019, Buivids, C- 345/17, EU:C:2019:122, punkterna 31 och 32).
I linje med EU-domstolens ställningstaganden måste även en röst i en ljudupptagning anses utgöra en personuppgift, om det med ledning av rösten är möjligt att identifiera den berörda personen.
I detta fall avser de aktuella ljudupptagningarna telefonsamtal mellan kunden och en kundrådgivare hos Swedbank. Enligt hovrättens mening är det möjligt att med ledning av rösterna identifiera de samtalande. Kundens röst i inspelningarna utgör alltså en personuppgift som avser honom. Kunden har enligt artikel 15.3 i dataskyddsförordningen rätt att få en kopia av denna personuppgift. I förhållande till den personuppgiften gäller också hans övriga rättigheter enligt dataskyddsförordningen, till exempel rätten till radering.
Den andra personens röst utgör inte i sig en personuppgift med avseende på den registrerade. Det kan för övrigt tilläggas att transkribeiingarna av samtalen visar att det som de anställda sagt i stora delar inte kan anses vara personuppgifter som rör kunden.
Av det anförda följer att det finns förutsättningar att förplikta Swedbank att lämna ut de delar av inspelningarna där kundens röst hörs, men inte de delar av samtalen där de anställdas röster hörs. Tingsrättens deldom ska därför ändras i enlighet med detta.