HFD 2025 not. 13

Sökord EU:s dataskyddsförordning · Personuppgifter · Behandling av personuppgifter

En ansökan om att med stöd av artikel 15 i EU:s dataskyddsförordning få del av handlingar i vilka personuppgifter behandlas har avslagits.

Högsta förvaltningsdomstolen meddelade den 28 februari 2025 följande dom (mål nr 4570-24, 4670-24, 4671-24, 4729-24, 5037-24, 5038-24, 5165-24, 6332-24, 6906-24 och 6907-24).

1 C.H. begärde, med stöd av artikel 15 i förordningen (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), EU:s dataskydds­förordning, vid flera tillfällen hos Kammarrätten i Jönköping att få ta del av olika handlingar i vilka hans personuppgifter behandlas. Hans begäran avsåg handlingar som var föremål för sekretess­prövning hos kammarrätten i ett antal mål om rätt att ta del av allmän handling där C.H. var klagande.

2 Kammarrätten besvarade C.H:s begäran genom att i de överklagade besluten tillhandahålla honom en sammanställning av de personuppgifter som kammarrätten behandlar i handlingarna genom att återge de personuppgifter som avser honom. Kammarrätten bedömde att C.H:s möjlighet att utöva sina rättigheter enligt EU:s data­skydds­förordning tillgodoses genom att han får en sammanställning över sina personuppgifter så som de förekommer i de aktuella dokumenten.

3 C.H. överklagar kammarrättens beslut och yrkar att han får del av de begärda handlingarna i sin helhet. Han yrkar även att Högsta förvaltningsdomstolen ska inhämta förhandsavgörande från EU-domstolen.

4 Den registrerades rätt till tillgång till personuppgifter följer av artikel 15 i EU:s dataskyddsförordning. I artikel 15.1 anges att den registrerade ska ha rätt att av den personuppgiftsansvarige få bekräftelse på huruvida personuppgifter som rör honom eller henne håller på att behandlas och i så fall få tillgång till personuppgifterna. I artikel 15.3 anges att den personuppgiftsansvarige ska förse den registrerade med en kopia av de personuppgifter som är under behandling.

5 Högsta förvaltningsdomstolen finner att den unionsrättsliga frågan som aktualiserats kan besvaras med ledning av befintliga domar från EU-domstolen. Yrkandena om att inhämta förhandsavgörande ska därför avslås.

6 Ett syfte med rätten till tillgång till personuppgifter enligt artikel 15 i EU:s dataskyddsförordning är att ge den registrerade möjlighet att försäkra sig om att de personuppgifter som rör honom eller henne är korrekta och att de behandlas på ett lagenligt sätt. Rätten till tillgång är i synnerhet nödvändig för att möjliggöra för den registrerade att i förekommande fall kunna utöva de rättigheter som föreskrivs i bland annat artiklarna 16–18, 21, 79 och 82 i EU:s dataskyddsförordning (se t.ex. Pankki S, C-579/21, EU:C:2023:501, punkterna 57 och 58).

7 Ordet ”kopia” i artikel 15.3 avser de personuppgifter som en handling innehåller och inte handlingen i sig. Kopian ska innehålla en exakt och begriplig återgivning av samtliga personuppgifter som är under be­handling. Den registeransvarige kan dock behöva ge ut utdrag ur handling­ar, hela handlingar eller utdrag ur databaser om de behandlade uppgifterna behöver sättas i sitt sammanhang för att vara begripliga så att den registrer­ade kan utöva sina rättigheter enligt förordningen (se t.ex. Österreichische Datenschutz­behörde och CRIF, C-487/21, EU:C:2023:369, punkterna 32, 41 och 45 samt Pankki S, punkterna 64–66).

8 C.H:s begäran om tillgång till uppgifter avser handlingar som är föremål för sekretessprövning i mål om rätt att ta del av allmän handling där han själv är klagande. Han har av kammarrätten fått sammanställningar av de personuppgifter som kammarrätten behandlar i de aktuella handlingarna. Högsta förvaltningsdomstolen bedömer att dessa sammanställningar är tillräckliga för att C.H. på ett effektivt sätt ska kunna utöva sina rättigheter enligt EU:s dataskydds­förordning. Överklagandena ska därför avslås.

Högsta förvaltningsdomstolen avslår yrkandena om att inhämta förhands­avgörande från EU-domstolen.

Högsta förvaltningsdomstolen avslår överklagandena.

I avgörandet deltog justitieråden Classon, Gäverth och Anderson. Föredragande var justitiesekreteraren Elin Nilsson.

Den registrerades rätt till tillgång till personuppgifter följer av artikel 15 i dataskyddsförordningen. Av artikel 15.1. i förordningen framgår bland annat att den registrerade ska ha rätt att av den personuppgiftsansvarige få bekräftelse på huruvida personuppgifter som rör honom eller henne håller på att behandlas och i så fall få tillgång till personuppgifterna och information om bland annat ändamålet med behandlingen, de mottagare eller kategorier av mottagare till vilka personuppgifterna har lämnats eller ska lämnas ut och, om möjligt, hur länge personuppgifterna kommer att lagras. Av artike115.3 i förordningen framgår vidare att den person­uppgiftsansvarige ska förse den registrerade med en kopia av de person­uppgifter som är under behandling.

Ett syfte med rätten till tillgång till personuppgifter är att ge den regi­strerade möjlighet att försäkra sig om att de personuppgifter som rör honom eller henne är korrekta och att de behandlas på ett lagenligt sätt. Rätten till tillgång är i synnerhet nödvändig för att möjliggöra för den registrerade att i förekommande fall kunna utöva bland annat sin rätt till rättelse, sin rätt till radering, sin rätt till begränsning av behandling och sin rätt att göra invändningar mot behandlingen enligt artiklarna 16, 17, 18 och 21 i dataskyddsförordningen. Kopian som den personuppgifts­ansvarige ska tillhandahålla måste innehålla alla de personuppgifter som är under behandling och uppvisa alla de egenskaper som gör det möjligt för den registrerade att på ett effektivt sätt utöva sina rättigheter enligt dataskyddsförordningen, och kopian ska följaktligen återge dessa upp­gift­er fullständigt och exakt (se till exempel EU-domstolens dom den 4 maj 2023, CRIF, C-487/21, och dom den 22 juni 2023, Pankki S, C-579/21).

Förutsatt att en kopia av personuppgifter uppvisar de egenskaper som gör det möjligt för den registrerade att utöva sina rättigheter enligt data­skyddsförordningen, saknar det enligt kammarrätten direkt betydelse vilken form som kopian har. Det kan inte generellt sett anses finnas en skyldighet att lämna ut en kopia av en handling med de personuppgifter som rör den registrerade om den registrerades rättigheter kan säkerställas på annat sätt, till exempel genom en sammanfattning av vilka person­uppgifter som behandlas.

Kammarrätten anser att C.H. i detta fall har möjlighet att utöva sina rättigheter enligt dataskyddsförordningen om han får del av en samman­fattning av de personuppgifter som förekommer i det aktuella dokumentet. Det kan inte anses nödvändigt för utövandet av de rättigheterna att han får del av själva dokumentet i vilket uppgifterna förekommer. Hans begäran ska alltså besvaras på det sättet.

– Kammarrätten besvarar C.H:s begäran om tillgång till personuppgifter enligt följande.

De av C.H:s personuppgifter som kammarrätten behandlar i doku­mentet "Den sekretessprövade handlingen, omaskad" i kammarrättens mål nr 2499-24 är [i beslutet anges C.H:s namn, e-postadress, personnummer och telefonnummer, red. anm.]

Kategorierna av personuppgifter som behandlas är namn, e-postadress, personnummer och telefonnummer. Den rättsliga grunden för behandling­en är uppgift av allmänt intresse och myndighetsutövning. Ändamålen med behandlingen är handläggning av mål och ärenden. Personuppgifterna kan komma att lämnas ut till den som begär det i enlighet med offentlig­hetsprincipen i 2 kap. tryckfrihetsförordningen. Personuppgifterna sparas i dagsläget tills vidare. Gallring kommer att ske framöver i enlighet med de föreskrifter som reglerar gallring inom mål- och ärendehanteringen.

[text här utelämnad]

[1] Kammarrätten har meddelat tio i princip likalydande beslut. Här återges endast beslutet i HFD:s mål 4670-24.