GDPR stoppar utlämnande av valkandidaters personuppgifter

Uppgifter om namn, personnummer och kandidatnummer för samtliga kandidater vid valen 2022 lämnas inte ut till en person som har begärt ut datan för att bygga upp en kommersiell tjänst, med intentionen att bistå i första hand finansiella institut med information. Kammarrätten, som går på Valmyndighetens linje i målet, lyfter fram att syftet med begäran – utvecklandet av den aktuella tjänsten – visserligen kan sägas vara ett sådant berättigat intresse som inryms i dataskyddsförordningen (GDPR). De registrerades intresse bedöms dock väga tyngre. Domstolen tar särskilt fasta på att avsikten är att kunna lämna ut uppgift om politisk tillhörighet, samt att lagstadgade gallringsrutiner inte skulle gälla efter ett utlämnande. Därmed kan det antas att uppgifterna kommer att behandlas i strid med dataskyddsförordningen, varför de omfattas av sekretess enligt 21 kap. 7 § OSL, enligt domstolen.

Enligt framställan i ärendet skulle den kommersiella tjänsten bland annat underlätta för finansiella institut att ta reda på huruvida en individ är en person i så kallad politiskt utsatt ställning (PEP) enligt penningtvättslagen.

GDPR väger tyngre än frivilligt utgivningsbevis i nytt avgörande

Ett bolag som arbetar med bakgrundskontroller nekas få ut allmänna handlingar, då det enligt kammarrätten kan antas att de begärda personuppgifterna kommer att behandlas i strid med EU:s dataskyddsförordning. Bakgrunden är att bolaget, som innehar ett så kallat frivilligt utgivningsbevis, inte fick ta del av uppgifter i två brottmålsärenden hos Åklagarmyndigheten. Kammarrätten – som har prövat relationen mellan dataskyddsförordningen och den svenska yttrandefrihetsgrundlagen – bedömer att de registrerade personernas rättigheter väger tyngre än de grundlagsskyddade rättigheter som innehavare av frivilliga utgivningsbevis åtnjuter. Rätten betonar att uppgifterna i ärendena avser lagöverträdelser, och att bolagets redan etablerade rekryteringsverksamhet framstår som det egentliga syftet med behandlingen av personuppgifterna. Detta särskilt då bolaget ansökte om ett utgivningsbevis först efter Åklagarmyndighetens avslag och av allt döma inte har påbörjat någon journalistisk verksamhet, enligt utslaget. Kammarrättens slutsats blir därmed att de begärda uppgifterna omfattas av sekretess enligt OSL.

Regionnämnd får inte hemlighålla löneuppgifter utifrån GDPR

Det var fel av Region Stockholm att neka en begäran om att få ta del av en sammanställning med namn och löneuppgifter på en vårdvalsenhet utifrån dataskyddsförordningen GDPR. Det konstaterar kammarrätten, som betonar att sekretess enligt 21 kap. 7 § i OSL inte gäller eftersom regionen inte har visat prov på någon konkret omständighet som talar för att löneuppgifterna ska komma att hanteras i strid med GDPR.

Regionens hälso- och sjukvårdsnämnd skrev i sitt avslagsbeslut att ”anställda inte har rätt att utföra lönekartläggning bland sina kollegor på grundval av individuppgifter av integritetsskäl”. Detta då namn är en personuppgift enligt GDPR och när dessa sammanställs i en lista blir det fråga om en kartläggning, enligt beslutet, som nu alltså har upphävts.

Kammarrätten skickar nu tillbaka ärendet till den ansvariga nämnden för att pröva frågan om någon annan sekretessbestämmelse hindrar ett utlämnande i fallet.

Bolag nekas e-postadresser till tusentals skolanställda

E-postadresserna till drygt 4 000 anställda inom grund- och gymnasieskolan i Helsingborgs kommun ska inte lämnas ut, slår Kammarrätten i Göteborg fast. Utslaget följer på ett överklagande från ett personalutbildningsföretag som hade begärt att få tillgång till uppgifterna för att ”snabbt och effektivt” kunna skicka information till personalen, inom ramen för de pågående affärsrelationer som företaget har med kommunen. Den planerade personuppgiftsbehandlingen är inte förenlig med dataskyddsförordningen, konstaterar domstolen, med hänvisning till att personalens integritetsintresse väger tyngre än företagets intressen i sammanhanget. Personuppgifterna bedöms därmed, mot den angivna bakgrunden, omfattas av sekretess enligt OSL.

GDPR-sekretess underkändes

En person begärde att få personnummer och examensuppgifter för samtliga examina som har utfärdats på grundnivå och avancerad nivå vid Malmö universitet fram till och med september 2021. Universitetet avslog med hänvisning till GDPR-sekretess trots att personen hade utgivningsbevis för den databas där han hade tänkt behandla uppgifterna.

Personen överklagade och kammarrätten underkände den sekretessgrund som universitetet hade tillämpat.

CV kunde inte hemlighållas med GDPR-sekretess

En person vände sig till Kommunstyrelsen i Vänersborgs kommun och begärde att få ta del av CV och ansökningsbrev i omaskerat skick för den person som kommunen hade anställt som kommunarkivarie. Kommunen avslog begäran med hänvisning till att utlämnande kunde antas leda till att uppgifterna användes i strid med GDPR.

Personen överklagade till kammarrätten som upphävde kommunens beslut. Domstolen hänvisade till att kommunen inte hade redogjort för någon omständighet som talade för att uppgifterna skulle användas i strid med GDPR. Kammarrätten återförvisade ärendet till kommunen för prövning av om uppgifterna i stället omfattades av personalsekretess.

Ingen GDPR-sekretess för klasslistor

En person hade rätt att få ut vissa klasslistor och betyg från Kils kommun. Till skillnad från kommunen tyckte kammarrätten inte att det fanns skäl att anta att personen skulle använda uppgifterna i strid mot GDPR. Domstolen pekade på att förordningen inte avser privatpersoners behandling av personuppgifter.

Fick inte ut gravrättsinnehavares personnummer

En person begärde hos kyrkogårdsförvaltningen i Stockholm att få ut personnummer och till detta kopplat gravnummer, på alla gravrättsinnehavare i förvaltningens gravbok. Enligt förvaltningen handlade det om över 100.000 personnummer. Förvaltningen avslog med hänvisning till GDPR-sekretess. Personen överklagade till kammarrätten men fick avslag även där.

Riksarkivet fick dubbel bakläxa på GDPR-sekretess plus JO-kritik

Kammarrätten upphävde Riksarkivet beslut att sekretessbelägga källhistoriskt material med stöd av GDPR-sekretess. Företaget som hade begärt ut materialet avsåg att publicera det på en webbplats med utgivningsbevis. Den avsedda personuppgiftsbehandlingen var alltså undantagen GDPR. Kammarrätten skickade tillbaka ärendet till Riksarkivet för prövning av om materialet var sekretessbelagt på någon annan grund.

Riksarkivet överklagade domen. HFD avvisade överklagandet eftersom bara sökanden är behörig att överklaga ett beslut angående rätten att ta del av allmänna handlingar. Riksarkivet hade därför inte rätt att överklaga kammarrättens dom.

Riksarkivet fattade ett nytt beslut där myndigheten återigen avslog företagets begäran med hänvisning till GDPR-sekretess. Myndigheten tyckte att kammarrätten hade ”lämnat motstridiga skäl” och sade sig var skyldig att tillämpa sekretess ”om det finns skäl både för och emot”. Företaget överklagade till kammarrätten som återigen upphävde Riksarkivets beslut.

Domstolen konstaterade att företaget i stort sett är undantagen regleringen i GDPR genom sitt utgivningsbevis, men att det finns ett undantag. Det är bestämmelsen i 1 kap. 20 § yttrandefrihetsgrundlagen som säger att grundlagen inte hindrar förbud mot databaser där man kan söka på känsliga personuppgifter som till exempel etniskt ursprung, hudfärg och religiös övertygelse. Kammarrätten skickade tillbaka ärendet till Riksarkivet för att myndigheten skulle pröva om undantagsbestämmelsen var tillämplig i ärendet.

Efter att kammarrätten för andra gången återförvisat ärendet till Riksarkivet lät myndigheten det ligga utan några åtgärder. Företaget JO-anmälde då myndigheten. JO riktade allvarlig kritik mot Riksarkivet eftersom myndighetens agerande närmast fick betecknas som domstolstrots.

Ingen GDPR-sekretess för lönelista

En anställd vid Region Stockholm begärde ut en lönelista för personalen vid regionarkivet, men fick avslag. Regionen skrev: ”Den bedömning vi gör är att anställda inte har rätt att utföra lönekartläggningar bland sina kollegor på grundval av individuppgifter av integritetsskäl”. Regionen hänvisade till OSL 21:7 (GDPR-sekretess).

Den anställde överklagade och fick rätt i kammarrätten. Domstolen tyckte inte att det hade kommit fram någon konkret omständighet som talade för att den anställde tänkte använda uppgifterna i strid mot dataskyddsförordningen (GDPR). Listan skulle därför lämnas ut inklusive namnen på de anställda.