Personalliggaren (NJA 2023 s. 1133)

Föredragandens förslag till beslut

Målet avgjordes efter föredragning.

Föredraganden, justitiesekreteraren Lina Zettergren, föreslog i betänkande att HD skulle meddela följande beslut.

SKÄL

Punkterna 1–6 motsvarar i huvudsak punkterna 1–4 i HD:s skäl.

7 HD har meddelat prövningstillstånd och hänskjutit målet till EU-domstolen inom ramen för förhandsavgörande enligt artikel 267 EUF-fördraget för att få klarhet i hur bestämmelserna om editionsplikt i 38 kap. RB förhåller sig till EU:s allmänna dataskyddsförordning.¹

8 EU-domstolen har meddelat dom den 2 mars 2023 i målet Norra Stockholm Bygg AB C-268/21.²

Rättsliga utgångspunkter

9 Den processuella editionsplikten enligt 38 kap. 2 § första stycket och 4 § RB innebär att den som innehar en skriftlig handling som kan antas ha betydelse som bevis kan föreläggas av domstolen att förete handlingen. Syftet är att säkerställa att en enskild ska kunna komma till sin rätt och få tillgång till handlingen när det finns ett befogat bevisintresse.

10 I tidigare avgöranden har den processuella prövningen av ett editionsyrkande omfattat en avvägning mellan bevisningens relevans och motpartens intresse av att inte lämna ut uppgifterna och kan sägas vara en proportionalitetsbedömning även om så uttryckligen inte anges i 4 § (jfr ”Loggfilerna” NJA 1998 s. 829 och ”Mötesanteckningarna” NJA 2020 s. 664 p. 12 och Per-Olof Ekelöf m. fl. Rättegång IV, sjunde upplagan, 2016, JUNO version 7, s. 269.)

11 I ”SIE4-filerna” NJA 2020 s. 373, vägde HD in att elektroniskt material som omfattas av editionsplikt kan innehålla skyddsvärd information vid sidan av det som är av intresse för editionssökanden. Det kan röra sig om metadata kring vem som upprättat dokumentet, tagit del av det m.m. som kan leda till att informationen istället tillhandahålls i pappersform (se p. 10 och 16).

12 Den 25 maj 2018 trädde EU:s allmänna dataskyddsförordning i kraft och blev direkt tillämplig. Den svenska dataskyddslagen, lag (2018:218) med kompletterande bestämmer till EU:s dataskyddsförordning, och kompletteringsförordningen, förordningen (2018:2019) med kompletterande bestämmelser till EU:s dataskyddsförordning, har införts i svensk rätt. Dataskyddslagen är inte omfattande och är subsidiär till annan lag såsom exempelvis domstolsdatalagen (2015:728) som gäller personuppgiftshantering i domstolarna.

13 I 6 § domstolsdatalagen anges att personuppgifter får behandlas i domstolens rättskipande och rättsvårdande verksamhet om det behövs för handläggningen av mål och ärenden. Det omfattar inte bara handläggningsåtgärder som vidtas enligt en processuell bestämmelse utan även andra åtgärder som har en direkt koppling till hanteringen av mål och ärenden (se prop. 2014/15:148 s. 27 och 39 f.).

14 Just personnummer och samordningsnummer har getts en särställning i 10–11 §§ dataskyddslagen och får behandlas utan den enskildes samtycke endast när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Intresseavvägningen står mellan behovet av behandlingen och integritetsrisker och hänsyn bör tas till om behandlingen kan uppnås på annat sätt, behandlingens omfattning och om den förutsätter samkörning av register (se prop. 2017/18:105 s. 101 f. och 199).

Inhämtat förhandsavgörande i mål C-268/21

15 HD har hänskjutit följande frågor till EU-domstolen för tolkning.

16 EU-domstolen meddelade dom den 2 mars 2023 i målet Norra Stockholm Bygg AB C-268/21³ efter att förslag till avgörande av generaladvokat Capeta presenterats.

17 Gällande den första tolkningsfrågan har EU-domstolen slagit fast att den allmänna dataskyddsförordningen är tillämplig på situationen i det nationella tvistemålet. Såväl själva upprättandet och förandet av en elektronisk personalliggare för skattekontroll, som det att någon som bevis företer en elektroniskt lagrad handling eller en fysisk handling som innehåller personuppgifter till följd av ett editionsföreläggande får anses utgöra en behandling av personuppgifter enligt dataskyddsförordningen. (Se p. 26–28.)

18 All behandling av personuppgifter, inbegripet den som utförs av offentliga myndigheter såsom domstolar inom ramen för deras dömande verksamhet, ska därför uppfylla villkoren för laglig behandling i artikel 6 i dataskyddsförordningen och vara nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning enligt artikel 6.1. e). Den rättsliga grunden för personuppgiftsbehandlingen ska fastställas i enlighet med unionsrätten eller den nationella rätt som den personuppgiftsansvarige omfattas av, uppfylla ett mål av allmänt intresse och stå i proportion till de legitima mål som eftersträvas. (Se p. 29–32 i domen med hänvisning till artikel 6.1 e och 6.3 dataskyddsförordningen och skäl 45 i ingressen.)

19 Vidare utgör behandling av personuppgifterna i personalliggaren i samband med handläggning av mål i domstol och edition vidarebehandling, dvs. personuppgiftsbehandling för ett nytt ändamål i förhållandet till det ursprungliga ändamålet skattekontroll. Vidarebehandling är tillåtet under förutsättning att den grundar sig på nationell rätt och utgör en nödvändig och proportionerlig åtgärd i ett demokratiskt samhälle för att i sin tur skydda några av de mål som anges i artikel 23.1 i dataskyddsförordningen. Sådana mål kan exempelvis vara f) skydd av rättsväsendets oberoende och rättsliga åtgärder eller j) verkställighet av civilrättsliga anspråk. Om så är fallet har den personuppgiftsansvarige rätt att vidarebehandla personuppgifterna oberoende om det är förenligt med det ursprungliga ändamålet. (Se p. 33.)

20 Det ankommer på HD att pröva om editionsreglerna i 38 kap. RB svarar mot ett eller båda av målen i artikel 23.1 och dessutom är nödvändiga och står i proportion till målen. (Se p. 39.)

21 All behandling av personuppgifter, förutom undantagen i artikel 23, ska vara förenlig med de principer för behandlingen och de rättigheter registrerade personer har som framgår av förordningens andra och tredje kapitel, i synnerhet med principerna i artikel 5 och laglighetsvillkoren i artikel 6. (Se p. 43 med hänvisning till bl. a. de förenade målen La Quadrature du Net C-511/18, C-512/18 och C-520/18⁴ p. 208.)

22 Även om de nationella editionsreglerna i rättegångsbalken inte uttryckligen kräver så innebär det faktum att dataskyddsförordningen är tillämplig och personuppgifterna kan komma att vidarebehandlas enligt dess regler, att den nationella domstolen måste ta hänsyn även till de registrerades och berörda motstående intressen. Detta för att kontrollera att de krav som dataskyddsförordningen ställer efterlevs. En avvägning utifrån omständigheterna i varje enskilt fall ska göras, vilken typ av mål det är fråga om och med hänsyn till proportionalitetsprincipen och särskilt med beaktande av principen om uppgiftsminimering i artikel 5.1. c i förordningen, som ger uttryck för just proportionalitetsprincipen. (Se p. 44–48.)

23 Principer och rättigheter som att säkerställa skyddet för fysiska personer med avseende på behandling av personuppgifter som är nära knuten till rätten till respekt för privatlivet enligt artikel 7 och 8.1 i EU:s rättighetsstadga och artikel 16 EUF-fördraget, ska beaktas och sammanvägas. Rätten till skydd av personuppgifter är inte en absolut rättighet utan måste förstås utifrån sin uppgift i samhället och ska i enlighet med proportionalitetsprincipen vägas mot andra grundläggande rättigheter, som exempelvis rätten till effektivt domstolsskydd i artikel 47 stadgan som likt artikel 6.1 europakonventionen förutsätter ett kontradiktorisk förfarande med likställdhet för parterna i processen.

24 EU-domstolen har bedömt att editionsplikt bidrar till att upprätthålla just den rätten till domstolsskydd genom att ge parterna i ett tvistemål möjlighet att få tillgång till handlingar som de behöver för att kunna styrka en viss i målet förd talan. (Se p. 49–53 med hänvisning till Europadomstolens avgöranden.)

25 Vid prövningen om åtgärden är nödvändig och proportionerlig kräver principen om uppgiftsminimering att personuppgifterna ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Den nationella domstolen är skyldig att fastställa om ett utlämnande av personuppgifter är adekvat och relevant för att säkerställa de mål som eftersträvas med bestämmelserna i nationell rätt och om det inte kan uppnås genom mindre ingripande bevismedel, som exempelvis ett urval av vittnen. (Se p. 54–55 med hänvisning till Latvijas Republikas Saeima C-439/19⁵ p. 98.)

26 Om det finns skäl att besluta om edition ställer principen om uppgiftsminimering krav på att överväga ytterligare åtgärder för att skydda personuppgifterna. Det kan exempelvis vara pseudonymisering eller andra åtgärder som att begränsa allmänhetens tillgång till handlingarna eller förelägga parterna om begränsningar i användandet. För denna bedömning kan den nationella domstolen begära in handlingen. Det kan leda till att domstolen beslutar om att personuppgifterna helt eller delvis ska lämnas ut till motparten om ett sådant utlämnande inte går utöver vad som är nödvändigt för att säkerställa att parternas rättigheter enligt artikel 47 i stadgan faktiskt upprätthålls. (Se p. 56–58.)

Sammanfattningsvis

27 Som EU-domstolen klargjort är den allmänna dataskyddsförordningen direkt tillämplig på frågan om editionsplikt, givetvis i förening med nationella bestämmelser som rättegångsbalken, 6 § domstolsdatalagen m.fl.

28 HD har dels att pröva om editionsreglerna i 38 kap. RB svarar mot ett eller båda av målen i artikel 23.1 dataskyddsförordningen jämte artikel 5, 6.3 och 6.4, och om vidarebehandlingen är nödvändig och står i proportion till målen i dataskyddsförordningen.

29 I linje med EU-domstolens klargörande krävs det därför att HD, liksom samtliga domstolar som är ansvariga för personuppgiftsbehandling, vidtar en fullvärdig proportionalitetsbedömning som bör innehålla en konsekvensanalys och med särskild hänsyn tagen till minimering av personuppgifter. En sammanvägning av ändamålet bakom de nationella bestämmelserna i förening med unionsrätten och med beaktande av att rätten till skydd för personuppgifter inte är absolut utan ska förstås utifrån sin funktion i samhället, parternas rätt till ett effektivt domstolsskydd och de registrerades rättigheter m.m.

30 EU-domstolens praxis rörande skyddet av de grundläggande rättigheterna är förhållandevis sträng med bl.a. krav på proportionalitetshänsyn och konkretisering av effektiva åtgärder i nationell rätt, se exempelvis avgörandena Tele2 Sverige och Watson m.fl. C-203/15 och C-698/15⁶, La Quadrature du Net m.fl. C-511/18, Commissioner of An Garda Síochána m.fl. C-140/20 p. 51 och SpaceNet och Telekom Deutschland C-793/19 och C-794/19. Skyddet för privatlivet tar sig uttryck bl.a. genom att den registrerade ska kunna försäkra sig om att dennes personuppgifter behandlas korrekt och lagenligt för att kunna utföra nödvändiga kontroller och kunna få uppgifterna rättade, utplånade eller blockerade, se p. 44 och 54–56 med hänvisningar i förenade målen YS m.fl. C-141/12 och C-372/12 och Latvijas Republikas Saeima C-439/19⁷, särskilt p. 74.

31 I avgörandet Land Nordrhein-Westfalen C-620/19⁸ p. 48 och 49, som rörde skattebestämmelser, uttalade EU-domstolen att tolkningen av artikel 23.1 kräver en avvägning mellan de grundläggande rättigheter som tillerkänns fysiska personer och de intressen som dessa begränsningar bidrar till att bevara, och kan följaktligen inte tolkas utan hänsyn till att den specifikt syftar till att säkerställa fysiska personers grundläggande rättigheter. Proportionalitetshänsyn är med andra ord överlappande.

Personuppgiftshantering i domstol

32 Det kan konstateras att editionsinstitutet i 38 kap. RB syftar till ett ge den enskilde möjlighet att komma till sin rätt i fråga om bevissäkring och att det bl.a. kan ses som en åtgärd för att utjämna eventuell processuell obalans mellan parterna. Det är ett exempel på en konkret åtgärd för att säkerställa ett effektivt domstolsskydd.

33 Såväl syftet med den primära personuppgiftshanteringen hos Skatteverket enligt skatteförfarandelagen, som vidarebehandlingen i domstol har skett inom ramen för myndighetsutövning som tydligt motiverats av lagstiftaren. Båda områdena är omgärdade av lagreglering som genomgått en demokratisk lagstiftningsprocess.

34 Förutom dataskyddsförordningen finns det sektorspecifik reglering om personuppgiftshantering i 6 § domstolsdatalagen och vad gäller personnummers särställning, 3 kap. 10 § dataskyddslagen. Närmare vägledning för personuppgiftshanteringen finns i såväl Domstolsverkets som Integritetsmyndighetens föreskrifter men även på europeisk nivå via riktlinjer från exempelvis European Data Protection Board, EDPB, och European Union Agency For Cybersecurity, ENISA m.fl.

35 Det får anses ingå i domstolens prövning att på förhand söka göra en så fullständig konsekvensanalys som möjligt och om så krävs, klargöra med partnerna genom skriftväxling eller sammanträde, vilka hänsyn som ska beaktas. Eftersom den som innehar handlingarna torde ha full insikt i deras innehåll och kontext, är det i första hand den förelagda parten som har att utföra de dataskyddande åtgärderna, vid behov i samråd med domstolen. I det skriftliga föreläggandet bör domstolen dock tydligt informera om valmöjligheterna
till avidentifiering av personuppgifter genom anonymisering eller pseudonymisering och när föreläggandet verkställts, säkerställa att dataskyddet efterlevs.

36 Ersättning för personuppgiftsbehandlingen bör betraktas som rättegångskostnad enligt 18 kap. 1 § RB (jfr ”Spelbolagens editionstvist” NJA 2012 s. 628).

Bedömningen i detta fall

37 Vid en sammantagen bedömning av samtliga identifierade hänsyn i målet; syftena med de nationella bestämmelserna i ljuset av unionsrätten och inhämtat förhandsavgörande, typen av personuppgifter; att det delvis rör personnummer som av lagstiftaren getts en särställning, det sammanhang och för de syften personuppgifterna förekommer och behandlas, parternas intressen och de enskilda registrerades rättigheter såsom rätten till privatliv och dataskydd m.m., är kraven enligt dataskyddsförordningen uppfyllda genom att edition beviljas för de i målet aktuella handlingarna men att namn och personnummer avidentifieras. Hovrättens beslut ska därför ändras i den delen.

HD:S AVGÖRANDE

HD ändrar hovrättens beslut på så sätt att Entral AB ska förete personalliggaren för den aktuella entreprenaden i tiden den 1 augusti 2016 till den 30 november 2017 efter att enskildas personuppgifter bestående av namn och personnummer först avidentifierats genom exempelvis anonymisering eller pseudonymisering.

Personalliggaren ska ges in till tingsrätten inom två veckor från den dag Entral AB får del av det här beslutet.