Staten inte skadeståndsskyldig för en länsstyrelses personuppgiftsbehandling

Justitiekanslerns beslut

Justitiekanslern avslår sökandens anspråk.

Ärendet

Bakgrund

Sökanden anmälde störningar till Miljö- och hälsoskyddsnämnden i Stockholms kommun. Störningarna bestod av buller från en bowlinghall som ligger intill sökandens bostad. Nämnden beslutade att lämna anmälan utan åtgärd. Sökanden överklagade nämndens beslut till Länsstyrelsen i Stockholms län. I överklagandet angav sökanden bl.a. att han efter omfattande utredning har fått en viss diagnos och att denna borde beaktas vid bedömningen av huruvida störningarna medförde en hälsorisk. Inför sitt ställnings­tagande översände Länsstyrelsen överklagandet till fastighets­ägaren och verksamhetsutövaren för yttrande.

Länsstyrelsen upphävde Miljö- och hälsoskyddsnämndens beslut och åter­förvisade ärendet dit för fortsatt handläggning. I beslutet återgav Länsstyrel­sen vad som hade anförts i överklagandet, vilket innefattande uppgift om bl.a. sökandens diagnos. Som skäl för beslutet angavs att sökanden med hänsyn till vad som framkommit om dennes hälsa fick anses tillhöra en särskilt känslig grupp och att störningarna utgjorde en olägenhet för sökandens hälsa. Beslutet skickades till sökanden, nämnden, fastighets­ägaren och verksamhetsutövaren.

Anspråket m.m.

Sökanden har begärt skadestånd av staten med 30 000 kr och har till stöd för sitt anspråk anfört i huvudsak följande. I överklagandet lämnade han käns­liga personuppgifter om sin hälsa och diagnos. Det rör sig om sådana käns­liga personuppgifter som anges i artikel 9 i dataskyddsförordningen. Eftersom dessa uppgifter har tagits in i en allmän handling, vilket innebär att uppgifterna gjorts tillgängliga för en obestämd krets utomstående, har behandlingen skett i strid med dataskyddsförordningen och utgjort en allvarlig integritetskränkning. Röjandet av diagnosen medför dessutom en påtaglig risk för framtida ekonomiska skador genom bl.a. försämrade möjligheter till anställning då han arbetar inom en bransch där omfattande bakgrundskontroller tillhör vanligheten.

Länsstyrelsen i Stockholms län har yttrat sig över anspråket.

Sökande har beretts tillfälle att lämna synpunkter på länsstyrelsens yttrande.

Justitiekanslerns bedömning

Rättsliga utgångspunkter

Regler om skadeståndsansvar för staten finns i skadeståndslagen. Bestäm­mel­­serna i den lagen ska dock bara tillämpas om inte något annat är särskilt föreskrivet (1 kap. 1 § skadeståndslagen). Vid behandling av person­upp­gifter gäller särskilda regler om skadestånd. Sådana särskilda bestämmelser finns i förevarande fall i EU:s dataskyddsförordning [1] och lagen (2018:218) med kompletterande bestämmelser till EU:s dataskydds­förordning (dataskyddslagen).

Enligt artikel 5 i dataskyddsförordningen ska personuppgifter bl.a. behan­dlas lagligt, korrekt och på ett sätt som säkerställer lämplig säkerhet för personuppgifterna. Av bestämmelsen följer vidare att personuppgifterna ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. En personuppgiftsbehandling anses laglig bl.a. om behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige (artikel 6.1 e). En sådan behandling kan vara nödvändig om den utgör ett led i den personuppgiftsansvariges myndighetsutövning enligt lag eller annan författning (artikel 6.3 samt 2 kap. 2 § dataskyddslagen; se mer om nödvändighetskravet nedan).

För behandling av känsliga personuppgifter gäller dessutom att något av kraven i artikel 9.2 i dataskyddsförordningen är uppfyllda. Med känsliga personuppgifter avses enligt artikeln bl.a. uppgifter om hälsa (artikel 9.1), vilket är ett begrepp som EU-domstolen slagit fast ska ges en vid tolkning (se t.ex. EU-domstolens dom den 4 oktober 2024 i mål C-21/23, ND v DR , p. 81). Enligt artikel 9.2 g i dataskyddsförordningen, jämförd med 3 kap. 3 § första stycket 2 dataskyddslagen, är behandling av känsliga personuppgifter tillåten om den är nödvändig för handläggningen av ett ärende. Nödvändighetsrekvisitet anses enligt EU-domstolen kräva det att det intresse som eftersträvas med behandlingen av personuppgifterna inte rimligen kan uppnås på ett lika effektivt sätt genom andra medel som är mindre ingripande i de registrerades grundläggande fri- och rättigheter (se t.ex. EU-domstolens dom den 4 juli 2023 i mål C-252/21, Meta Platforms m.fl. , p. 108).

Bedömningen i detta fall

Det kan inledningsvis konstateras att uppgiften om sökandens diagnos omfattas av den kategori av känsliga personuppgifter som omnämns i artikel 9.1 i dataskyddsförordningen. Det uppställs därmed ett krav på att uppgiften ska vara nödvändig att behandla för ett visst ändamål, om ändamålet inte kan realiseras utan att personuppgiften används. Det kan diskuteras om länsstyrelsens uttryckliga angivande av sökandens diagnos i beslutet varit nödvändigt i förhållande till de ändamål för vilken den behandlats. Länsstyrelsen har i sitt yttrande hit bedömt att det skulle ha varit möjligt att i stället för att ange diagnosen hänvisa till de handlingar i ärendet där den informationen återfanns. Den lösningen skulle emellertid ha inneburit att en uppgift som legat till grund för länsstyrelsens rättstillämpning inte hade framgått av beslutet. Det handlar dessutom om en uppgift som haft avgörande betydelse för länsstyrelsens prövning. Justitiekanslern bedömer mot denna bakgrund att det starka intresset av att skälen till beslut som innefattar myndighetsutövning mot enskild klart och tydligt framgår av beslutet inte skulle ha tillgodosetts lika effektivt om uppgiften hade utelämnats. Angivandet av sökandens diagnos i länsstyrelsens beslut utgör därmed inte någon överträdelse av dataskyddsförordningen.

Sökandens anspråk ska följaktligen avslås.

[1] Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning)