GDPR stoppar utlämnande av valkandidaters personuppgifter

Uppgifter om namn, personnummer och kandidatnummer för samtliga kandidater vid valen 2022 lämnas inte ut till en person som har begärt ut datan för att bygga upp en kommersiell tjänst, med intentionen att bistå i första hand finansiella institut med information. Kammarrätten, som går på Valmyndighetens linje i målet, lyfter fram att syftet med begäran – utvecklandet av den aktuella tjänsten – visserligen kan sägas vara ett sådant berättigat intresse som inryms i dataskyddsförordningen (GDPR). De registrerades intresse bedöms dock väga tyngre. Domstolen tar särskilt fasta på att avsikten är att kunna lämna ut uppgift om politisk tillhörighet, samt att lagstadgade gallringsrutiner inte skulle gälla efter ett utlämnande. Därmed kan det antas att uppgifterna kommer att behandlas i strid med dataskyddsförordningen, varför de omfattas av sekretess enligt 21 kap. 7 § OSL, enligt domstolen.

Enligt framställan i ärendet skulle den kommersiella tjänsten bland annat underlätta för finansiella institut att ta reda på huruvida en individ är en person i så kallad politiskt utsatt ställning (PEP) enligt penningtvättslagen.

GDPR väger tyngre än frivilligt utgivningsbevis i nytt avgörande

Ett bolag som arbetar med bakgrundskontroller nekas få ut allmänna handlingar, då det enligt kammarrätten kan antas att de begärda personuppgifterna kommer att behandlas i strid med EU:s dataskyddsförordning. Bakgrunden är att bolaget, som innehar ett så kallat frivilligt utgivningsbevis, inte fick ta del av uppgifter i två brottmålsärenden hos Åklagarmyndigheten. Kammarrätten – som har prövat relationen mellan dataskyddsförordningen och den svenska yttrandefrihetsgrundlagen – bedömer att de registrerade personernas rättigheter väger tyngre än de grundlagsskyddade rättigheter som innehavare av frivilliga utgivningsbevis åtnjuter. Rätten betonar att uppgifterna i ärendena avser lagöverträdelser, och att bolagets redan etablerade rekryteringsverksamhet framstår som det egentliga syftet med behandlingen av personuppgifterna. Detta särskilt då bolaget ansökte om ett utgivningsbevis först efter Åklagarmyndighetens avslag och av allt döma inte har påbörjat någon journalistisk verksamhet, enligt utslaget. Kammarrättens slutsats blir därmed att de begärda uppgifterna omfattas av sekretess enligt OSL.

Polisen slipper lämna ut lokal brottsdata till kommun

Polisens framtida verksamhet kan ta skada om ett stort antal uppgifter över polisanmälda brott lämnas ut till Sala kommun, enligt en dom i kammarrätten. Kommunen har – mot bakgrund av ett samarbete med det berörda lokalpolisområdet – begärt ut data kopplat till 79 specificerade brottskoder i polisens systemstöd Hobit2. Informationsdelningen behöver komma igång så fort som möjligt för att slå vakt om det lokala brottsförebyggande och trygghetsskapande arbetet, enligt kommunen, som har fört fram att dess egen lagring inte skulle avse sekretesskyddad information.

Kammarrätten slår dock fast att ett utlämnande strider mot tre paragrafer i OSL, och att den sekretessbrytande bestämmelsen i 10 kap. 27 § OSL inte är tillämplig i fallet. Domstolen anser bland annat att vissa koordinatangivelser kopplat till enskilda brottsrubriceringar – som kommunen hade efterfrågat – indirekt kan peka ut personer som misstänks för brott, varför även de omfattas av sekretess.

Kommunens begäran rörde data under perioden 2020-2025. Gällande framtida uppgifter konstaterade Polisen i sitt avslag lakoniskt att myndigheten ”av uppenbara skäl” inte kunde lämna ut någon information som den ännu inte förfogar över för egen del.

Regionnämnd får inte hemlighålla löneuppgifter utifrån GDPR

Det var fel av Region Stockholm att neka en begäran om att få ta del av en sammanställning med namn och löneuppgifter på en vårdvalsenhet utifrån dataskyddsförordningen GDPR. Det konstaterar kammarrätten, som betonar att sekretess enligt 21 kap. 7 § i OSL inte gäller eftersom regionen inte har visat prov på någon konkret omständighet som talar för att löneuppgifterna ska komma att hanteras i strid med GDPR.

Regionens hälso- och sjukvårdsnämnd skrev i sitt avslagsbeslut att ”anställda inte har rätt att utföra lönekartläggning bland sina kollegor på grundval av individuppgifter av integritetsskäl”. Detta då namn är en personuppgift enligt GDPR och när dessa sammanställs i en lista blir det fråga om en kartläggning, enligt beslutet, som nu alltså har upphävts.

Kammarrätten skickar nu tillbaka ärendet till den ansvariga nämnden för att pröva frågan om någon annan sekretessbestämmelse hindrar ett utlämnande i fallet.

HFD river upp avslag om målförteckning i vapenärenden

Kammarrätten i Jönköpings beslut att inte lämna ut en målförteckning över ärenden om vapentillstånd – med hänvisning till sekretess för uppgifter om vapenregister – underkänns i Högsta förvaltningsdomstolen. Enligt lägre instans kunde det befaras att ett röjande av uppgifterna skulle leda till att vapen, ammunition eller ljuddämpare kom till brottslig användning. Men HFD anser inte att en uppgift om till exempel återkallelse av vapen i en målförteckning är kopplad till ett vapenregister enligt vapenlagen, med följden att sekretessbestämmelsen enligt det angivna lagrummet inte är tillämplig.

Kammarrätten bedömde även att uppgifterna inte kunde lämnas ut på grund av dataskyddssekretess. HFD menar dock att det inte finns någon konkret omständighet i ärendet som pekar mot att uppgifterna skulle användas i strid med dataskyddsförordningen, och beordrar kammarrätten att göra en ny prövning i den delen.

Bakgrunden är en begäran från en privatperson om att ta del av en målförteckning över samtliga mål om vapentillstånd i kammarrätten tillbaka till 1 januari 2000, utan uppgifter om parterna i målen.

Länsstyrelse måste sekretesspröva utlämnande av anställdas personnummer på nytt

Länsstyrelsen i Dalarna hade fog för att avslå en begäran om att få ut två anställdas bostadsadresser, med hänvisning till risken för att de enskilda skulle lida men vid ett röjande. Det anser kammarrätten efter ett överklagande i fallet. Däremot underkänns länsstyrelsens sekretessbedömning när det gäller en begäran om de anställdas personnummer i samma ärende. Till att börja med finns det inget som styrker myndighetens uppfattning att uppgifterna kommer att behandlas i strid med dataskyddsregleringen, enligt domstolen.

Vidare är det lagrum om personaladministrativ sekretess som länsstyrelsen har hänvisat till inte tillämpligt i sammanhanget, anser kammarrätten, som dock betonar att uppgifterna kan omfattas av sekretess enligt ett annat stycke i samma paragraf i OSL. Men det gäller i sin tur endast om de berörda handlägger djurskydds- eller rovdjursfrågor, offentlig kontroll av djurskyddsfrågor eller frågor om gränsöverskridande avfallstransporter. En prövning om de förutsättningarna finns bör nu göras av länsstyrelsen som första instans, är slutsatsen.

Länsstyrelsen motiverade sitt avslag kopplat till personnumren utifrån en ”säkerhetsmässig värdering” efter en förhöjd hotbild mot de anställda.

Region Gotland måste lämna ut samtalslogg efter dom

En samtalslogg över uppgifter om samtal från Region Gotlands telefonväxel till en privatpersons nummer måste lämnas ut av myndigheten, enligt en dom i kammarrätten i Stockholm. Regionen bedömde i sitt beslut i juni att loggen inte är att anse som en allmän handling i tryckfrihetsförordningens mening, då den endast upprättats för ”befordran av ett meddelande”. Dessutom föreligger under alla omständigheter absolut sekretess för inhämtade uppgifter från personal vid en myndighets telefonväxel, enligt regionstyrelsen – som även hänvisade till ytterligare två lagrum i OSL.

Men domstolen underkänner nu det resonemanget på samtliga punkter. En samtalslogg är enligt domstolens synsätt att likställa med ett diarium eller annan förteckning som förs fortlöpande, och därmed en upprättad allmän handling förvarad hos regionen. Det finns inte heller någon sekretessbestämmelse som är tillämpbar i sammanhanget, slår kammarrätten fast.

Bolag nekas e-postadresser till tusentals skolanställda

E-postadresserna till drygt 4 000 anställda inom grund- och gymnasieskolan i Helsingborgs kommun ska inte lämnas ut, slår Kammarrätten i Göteborg fast. Utslaget följer på ett överklagande från ett personalutbildningsföretag som hade begärt att få tillgång till uppgifterna för att ”snabbt och effektivt” kunna skicka information till personalen, inom ramen för de pågående affärsrelationer som företaget har med kommunen. Den planerade personuppgiftsbehandlingen är inte förenlig med dataskyddsförordningen, konstaterar domstolen, med hänvisning till att personalens integritetsintresse väger tyngre än företagets intressen i sammanhanget. Personuppgifterna bedöms därmed, mot den angivna bakgrunden, omfattas av sekretess enligt OSL.

Privata musikskolor nekas lista på elevers e-postadresser för reklamutskick

Flera musikskoleföretag – som Täby kommun har upphandlat tjänster med inom kulturskoleverksamhet – ville få en lista över myndiga elevers och vårdnadshavares e-postadresser. Men kommunen anser att uppgifterna omfattas av sekretess, och nu gör kammarrätten samma bedömning.

De privata aktörerna menar att det handlar om informationsutskick om deras kurser, och att det därför finns ett berättigat allmänintresse för personuppgiftsbehandlingen i fallet. Enligt domstolen väger dock elevernas och vårdnadshavarnas integritetsintresse tyngre, varför ett utlämnade skulle stå i strid med GDPR. Dessutom handlar det av allt att döma om kurser som eleverna måste betala för, påpekar kammarrätten, med följden att utskicken är att betrakta som reklam som kräver samtycke från mottagarna för att vara tillåten enligt marknadsföringslagen.

GDPR-sekretess för personnummer men inte för namn

GDPR-sekretessen var inte ett hinder för att Trafikverket skulle lämna ut för- och efternamn, telefonnummer, e-postadress och beslutad behörighet för alla som hade beviljats mätbehörighet typ 1 eller typ 2. Det bedömde kammarrätten i denna dom. Uppgifterna fanns i ett register hos Trafikverket och hade begärts ut av en person som representerade ett rekryteringsföretag. Uppgifterna skulle användas för att hjälpa ett av företagets kunder att rekrytera personal med de aktuella behörigheterna.

Sökanden hade däremot inte rätt att få ut diarienummer, personnummer, anställning och adress för de registrerade, ansåg kammarrätten. Inte heller uppgifter om deras utbildning, referenser och praktiktid. Kammarrätten tyckte inte att dessa uppgifter var nödvändiga för att bolaget skulle kunna uppnå syftet med den tänka personuppgiftsbehandlingen, det vill säga att komma i kontakt med registrerade med rätt behörighet.

Kammarrätten återförvisade ärendet till Trafikverket för prövning av om någon annan sekretessregel hindrade ett utlämnande.