Områden: Dataskydd & sekretess
Dnr: 8-122224-2025
Högsta domstolens beslut den 25 februari 2025, mål nr Ä 3457-24
Sammanfattning
Vid en prövning enligt 21 kap. 7 § första stycket 1 och 2 offentlighets- och sekretesslagen (OSL) ska en bedömning av om de personuppgifter som ska lämnas ut kan antas komma att behandlas i strid med EU:s dataskyddsförordning eller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) göras oavsett om sökanden avser att behandla uppgifterna i en sådan verksamhet som omfattas av dataskyddsförordningen eller inte. Det innebär att även utlämnanden till verksamheter som har grundlagsskydd ska prövas enligt bestämmelsen.
För att en prövning enligt bestämmelsen ska bli aktuell ska det föreligga konkreta omständigheter som indikerat att uppgifterna kommer att behandlas i strid med EU:s dataskyddsförordning eller dataskyddslagen. Det kan vara omständigheter som framkommer i samband med begäran, exempelvis att det är fråga om en begäran att få del av ett större antal uppgifter (s.k. massuttag) eller ett urval av personer, t.ex. utifrån inkomst, språktillhörighet eller bosättning (s.k. selekterade uppgifter).
För att kunna pröva om personuppgifterna är sekretessbelagda, kan Skatteverket ställa kompletterande frågor om hur uppgifterna kommer att behandlas av sökanden efter ett utlämnande. Prövningen ska ske i förhållande till samtliga krav som ställs upp i EU:s dataskyddsförordning, som ska utgöra en fristående måttstock. Rekvisitet kan antas innebär dock att det inte behöver göras någon fullständig prövning av hur behandlingen ser ut efter utlämnandet.
Om prövningen resulterar i att de personuppgifter som har begärts är sekretessbelagda enligt 21 kap. 7 § OSL kan de i vissa fall lämnas ut med förbehåll. Ett förbehåll möjliggör en avvägning mellan olika intressen som dataskyddsförordningen förutsätter, t.ex. intresset av yttrande- och informationsfrihet och rätten till integritet.
Referat
En nyhetsbyrå hade begärt ett större antal domar och andra handlingar i brottmål från en hovrätt. Hovrätten lämnade ut handlingarna men med förbehåll som begränsade nyhetsbyråns möjlighet att ge andra tillgång till handlingarna på ett sådant sätt att de fick del av namn, personnummer eller adress för enskilda personer. Frågan i målet var om det rådde sekretess för de begärda uppgifterna och, i så fall, om uppgifterna skulle lämnas ut med förbehåll.
I målet aktualiserades frågan i vilken utsträckning 21 kap. 7 § OSL som hänvisar till EU:s dataskyddsförordning kan utgöra hinder mot att lämna ut handlingar. Enligt bestämmelsen gäller sekretess för en personuppgift om det kan antas att uppgiften efter ett utlämnande kommer att behandlas i strid med bl.a. dataskyddsförordningen eller dataskyddslagen.
I EU:s dataskyddsförordning ges utrymme att begränsa rätten till skydd för personuppgifter, förutsatt att begränsningarna är föreskrivna i lag, är förenliga med det väsentliga innehållet i de grundläggande rättigheterna och uppfyller de krav som följer av den unionsrättsliga proportionalitetsprincipen. Det följer av artikel 85 och 86 i EU:s dataskyddsförordning. Av praxis från EU-domstolen följer att begränsningarna inte får gå utöver vad som är strikt nödvändigt och att det ska finnas tydliga och precisa bestämmelser som reglerar räckvidden och tillämpningen av undantagen.
Enligt 1 kap. 7 § första stycket dataskyddslagen ska EU:s dataskyddsförordning och dataskyddslagen inte tillämpas i den utsträckning det skulle strida mot tryckfrihetsförordningen eller yttrandefrihetsgrundlagen. Av andra stycket framgår att vissa artiklar i dataskyddsförordningen inte ska tillämpas vid behandling av personuppgifter som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande.
Högsta domstolen uttalar att lagstiftarens avsikt med 1 kap. 7 § första stycket dataskyddslagen får sägas ha varit att EU:s dataskyddsförordning och dataskyddslagen över huvud taget inte ska tillämpas på det grundlagsskyddade området. Det skulle bl.a. innebära att EU:s dataskyddsförordning inte skulle inskränka myndigheternas skyldigheter att lämna ut personuppgifter. Med en sådan utgångspunkt är det enligt domstolen följdriktigt att uppfatta 21 kap. 7 § OSL på så sätt att sekretess enligt bestämmelsen inte kan föreligga i dessa fall; bestämmelsen förutsätter ju en bedömning av vad som kan antas om den kommande behandlingens förenlighet med dataskyddsregleringen. Motsvarande gäller även undantagen i 1 kap. 7 § andra stycket dataskyddslagen.
Högsta domstolen anser dock, mot bakgrund av praxis från EU-domstolen, att när nationell reglering tillämpas måste unionsrättens krav beaktas. Domstolen konstaterar vidare att om 1 kap. 7 § första stycket dataskyddslagen uppfattas på det sätt som lagstiftaren får sägas ha avsett finns det inte några regler om hur personuppgifter får behandlas eller några förutsättningar att utöva tillsyn när behandlingen sker inom det grundlagsskyddade området. Det skulle då inte finnas något annat skydd för integritetsintresset än det som kan ligga i ingripanden med stöd av mediegrundlagarna eller brottsbalken, vilka i grunden har andra syften än att skapa personuppgiftsskydd. Även i de fall som avses i 1 kap. 7 § andra stycket dataskyddslagen innebär en sådan ordning att skyddet för personuppgifter i mycket stor utsträckning får stå tillbaka för intresset för yttrande- och informationsfrihet. En sådan ordning skulle enligt domstolen helt undergräva det skydd vid behandling av personuppgifter om lagöverträdelser som EU:s dataskyddsförordning syftar till att ge och kan inte anses innebära att det har fastställts lämpliga skyddsåtgärder för de registrerades rättigheter och friheter på det sätt som förutsätts i artikel 10 i förordningen. Den svenska regleringen är därmed inte förenlig med EU:s dataskyddsförordning.
Högsta domstolen konstaterar även att lagstiftarens avsikt inte heller kommer till uttryck i lagtexten utan att bestämmelsens utformning snarare talar för att EU:s dataskyddsförordning får vika först om det råder en konflikt mellan regelverken. Vidare uttalar domstolen att 1 kap. 7 § dataskyddslagen och 21 kap. 7 § OSL, såvitt är aktuellt i målet, fick sin utformning i samma lagstiftningssammanhang, varför den naturliga utgångpunkten bör vara att den ena bestämmelsen inte utesluter den andra. Det finns inte heller några uttalanden i förarbetena till bestämmelsen i 21 kap. 7 § OSL som berör frågan om sekretessen bör gälla i förhållande till verksamheter som omfattas av grundlagsskydd enligt tryckfrihetsförordningen eller yttrandefrihetsgrundlagen.
Mot bakgrund därav gör domstolen bedömningen att 1 kap. 7 § första stycket dataskyddslagen inte hindrar att EU:s dataskyddsförordning beaktas vid tillämpningen av sekretessbestämmelsen i 21 kap. 7 § OSL. Även om ordalydelsen i 1 kap. 7 § andra stycket dataskyddslagen inte ger samma öppning för en tolkning enligt unionsrätten som första stycket så bör även andra stycket tillämpas så att det inte hindrar att EU:s dataskyddsförordning fullt ut beaktas vid en prövning av 21 kap. 7 § OSL. Det innebär att den myndighet som har att göra en prövning enligt 21 kap. 7 § OSL ska bedöma om uppgifterna efter ett utlämnande kan antas komma att behandlas i strid med bestämmelserna i EU:s dataskyddsförordning, utan att ta ställning till i vilken mån den svenska regleringen innebär att förordningen inte ska tillämpas i den verksamhet som bedrivs av den som har begärt att få ut uppgifterna. EU:s dataskyddsförordning kan vid tillämpningen av 21 kap. 7 § OSL då närmast ses som en fristående måttstock för när sekretess råder för uppgifter som annars skulle ha varit offentliga. Med en sådan ordning blir det möjligt att ta hänsyn till kraven i förordningen när det ska avgöras om allmänna handlingar som innehåller personuppgifter ska lämnas ut.
Nyhetsbyrån hade begärt att få ut ett större antal handlingar som innehöll uppgifter om lagöverträdelser och andra uppgifter av känslig natur. Nyhetsbyrån hade hos hovrätten återkommande begärt ut handlingar på motsvarande sätt. Mot den bakgrunden, och med beaktande av den omfattande behandling av personuppgifter av detta slag som sker hos nyhetsbyrån, kunde det enligt Högsta domstolen antas att personuppgifter som fanns i de begärda handlingarna skulle komma att behandlas på ett sätt som var oförenligt med artikel 10 i EU:s dataskyddsförordning. Personuppgifterna i handlingarna var därför sekretessbelagda.
Av 10 kap. 14 § första stycket OSL framgår att om en myndighet finner att sådan risk för skada, men eller annan olägenhet som enligt en bestämmelse om sekretess hindrar att en uppgift lämnas till en enskild kan undanröjas genom förbehåll som inskränker den enskildes rätt att lämna uppgiften vidare eller utnyttja den, ska myndigheten göra ett sådant förbehåll när uppgifter lämnas till den enskilde. Enligt Högsta domstolen får ett utlämnande av uppgifter som är oförenligt med EU:s dataskyddsförordning anses kunna medföra skada, men eller annan olägenhet. Bestämmelsen bör därför kunna tillämpas när sekretess gäller enligt 21 kap. 7 § OSL, vilket är ett sätt att åstadkomma en sådan avvägning mellan olika intressen som dataskyddsförordningen förutsätter, särskilt när intresset av yttrande- och informationsfrihet ska förenas med rätten till integritet.
Med hänsyn till den i målet aktuella nyhetsbyråns verksamhet ansåg domstolen att det kunde antas att behandlingen av uppgifterna i de begärda handlingarna till betydande del skulle komma att ske för journalistiska ändamål. Domstolen gjorde mot bakgrund därav bedömningarna att handlingarna skulle lämnas ut med förbehåll som balanserar intresset av att kunna bedriva en sådan verksamhet mot integritetsintresset. Förbehållet tog därför sikte på att förhindra att handlingarna – med de personuppgifter som fanns i dem – gjordes sökbara för andra samtidigt som det inte förhindrade att uppgifterna användes t.ex. i nyhetstexter eller nyhetsunderlag som nyhetsbyrån producerar. Förbehållet utformades enligt följande.
att handlingarna, oavsett i vilken form, inte får tillhandahållas allmänheten eller betalande kunder om allmänheten eller kunderna därigenom får del av personnamn, personnummer eller adress för enskilda personer, och
att nyhetsbyrån inte heller på annat sätt får erbjuda allmänheten eller betalande kunder sökmöjligheter i handlingarna på ett sätt som ger tillgång till personnamn, personnummer eller adress för enskilda personer.
Skatteverkets kommentar
Högsta domstolens beslut rör förhållandet mellan det svenska grundlagsskyddet och EU:s dataskyddsförordning. Domstolen har i beslutet uttalat att det saknar betydelse för tillämpligheten av 21 kap. 7 § OSL att den som begär ut personuppgifter omfattas av ett grundlagsskydd eller om uppgifterna ska behandlas för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande.
Det innebär att om det föreligger konkreta omständigheter som indikerar att begärda personuppgifter efter ett utlämnande kommer att behandlas i strid med EU:s dataskyddsförordning så ska en prövning enligt 21 kap. 7 § OSL göras. Det kan vara omständigheter som framkommer i samband med begäran, exempelvis att det är fråga om en begäran att få del av ett större antal uppgifter (s.k. massuttag) eller ett urval av personer, t.ex. utifrån inkomst, språktillhörighet eller bosättning (s.k. selekterade uppgifter).
Målet i Högsta domstolen avser utlämnande av handlingar som innehåller uppgifter om lagöverträdelser som innefattar brott. Hur sådana personuppgifter får behandlas regleras i artikel 10 i EU:s dataskyddsförordning. De uttalanden som görs i Högsta domstolens beslut om förhållandet mellan 21 kap. 7 § OSL, EU:s dataskyddsförordning och grundlag är dock generella. Skatteverket gör mot bakgrund därav bedömningen att en prövning enligt sekretessbestämmelsen ska ske med hela förordningen som måttstock. I prövningen ingår därmed alla de krav och villkor som enligt EU:s dataskyddsförordning gäller vid behandling av personuppgifter, inte enbart de som framgår av artikel 10. Det innebär att även t.ex. vilket villkor i artikel 6.1 EU:s dataskyddsförordning som utgör grund för sökandens behandling av personuppgifter kan ha betydelse för bedömningen.
Bestämmelsen kräver inte att den utlämnande myndigheten gör en fullständig prövning av den behandling av personuppgifter som ska ske efter utlämnandet (prop. 2017/18:105 s. 135 f.). Huruvida det behöver vidtas ytterligare utredningsåtgärder för att göra prövningen eller inte beror på vilka konkreta omständigheter som indikerat att mottagaren kommer att behandla uppgifterna på ett sätt som strider mot EU:s dataskyddsförordning. Att det är fråga om en begäran om massuttag eller selekterade uppgifter innebär alltså inte i sig att det kan antas att personuppgifterna kommer att behandlas i strid med EU:s dataskyddsförordning. För att den utlämnande myndigheten ska kunna göra en sekretessprövning kan den behöva ställa frågor till den som begär personuppgifterna om vilket stöd denne har för behandlingen och hur uppgifterna kommer att behandlas.
Personuppgifter som enligt bestämmelsen är sekretessbelagda ska ändå lämnas ut om sådan risk för skada, men eller annan olägenhet som enligt bestämmelsen hindrar att en uppgift lämnas till en enskild kan undanröjas med ett förbehåll som inskränker den enskildes rätt att lämna uppgiften vidare eller utnyttja den (10 kap. 14 § första stycket OSL). Enligt Högsta domstolens beslut är det genom utformningen av ett förbehåll möjligt att göra en sådan avvägning mellan olika intressen som EU:s dataskyddsförordning förutsätter, särskilt när intresset av yttrande- och informationsfrihet ska förenas med rätten till integritet.
Skatteverket tolkar mot bakgrund därav beslutet så att det är möjligt att lämna ut personuppgifter även om sökanden inte uppfyller samtliga krav enligt EU:s dataskyddsförordning. Sökande fick enligt beslutet del av uppgifter om lagöverträdelser vilket är uppgifter som, såvitt var aktuellt, endast får behandlas av myndigheter (3 kap. 8 § dataskyddslagen). Högsta domstolens beslut får tolkas så att den brist som förelåg i förhållande till EU:s dataskyddsförordning, kunde elimineras i och med att uppgifterna lämnades ut med förbehåll, som tog hänsyn till de olika intressen som skulle vägas mot varandra i och med att uppgifterna skulle användas i olika verksamheter. Det är mot bakgrund därav Skatteverkets bedömning att om personuppgifter kan antas komma att behandlas i strid med EU:s dataskyddsförordning, så måste Skatteverket i varje enskilt fall göra en bedömning av om den skada, men eller annan olägenhet som uppstår, kan undanröjas genom att lämna ut de begärda personuppgifterna med ett förbehåll. Hur ett sådant förbehåll i så fall ska vara utformat måste även det bedömas utifrån omständigheterna i det enskilda fallet.
Högsta domstolen avgjorde samma dag ytterligare ett mål, Ä 3169-24. I det målet hade ett företag som tillhandahåller uppgifter för bakgrundskontroller och för journalistik eller forskning begärt att få del av domar, beslut, protokoll och dagboksblad i brottmål vid en tingsrätt. Utgången blev densamma.