HFD 2016:40

Bakgrund

Enligt 21 kap. 7 § offentlighets- och sekretesslagen (2009:400) gäller sekretess för personuppgift, om det kan antas att ett utlämnande skulle medföra att uppgiften behandlas i strid med personuppgiftslagen (1998:204). Av 9 § första stycket a) personuppgiftslagen framgår att den personuppgiftsansvarige ska se till att personuppgifter behandlas bara om det är lagligt.

F.S., verkställande direktör för företaget Utbudet i Sverige AB, begärde hos Skolverket att få ta del av adresser för elektronisk post till de personer som fått eller ansökt om lärarlegitimation. Adresserna skulle användas i marknadsföringssyfte för att informera om möjligheten att beställa skolmaterial via företagets hemsida.

Skolverket beslutade att inte lämna ut de begärda uppgifterna. I beslutet hänvisades till att det av marknadsföringslagen (2008:486) följer att en näringsidkare vid marknadsföring till en fysisk person får använda elektronisk post bara om personen har samtyckt till det på förhand. De personer som berördes av begäran hade inte till Skolverket lämnat samtycke till marknadsföring av det aktuella slaget och det hade inte heller kommit fram att företaget hade inhämtat sådant samtycke. Det kunde därför antas att ett utlämnande av uppgifterna skulle medföra att de behandlades i strid med marknadsföringslagen och därmed även i strid med kravet på laglighet i 9 § första stycket a) personuppgiftslagen. Uppgifterna omfattades därmed av sekretess enligt 21 kap. 7 § offentlighets- och sekretesslagen och kunde inte lämnas ut.

F.S. överklagade beslutet till Kammarrätten i Stockholm som gjorde samma bedömning som Skolverket och avslog överklagandet.

Yrkanden m.m.

F.S. fullföljer sin talan.

Skälen för avgörandet

Vad målet gäller

Frågan i målet är om personuppgiftslagens krav på att personuppgifter får behandlas bara om det är lagligt innebär att den omständigheten att en planerad behandling strider mot marknadsföringslagen medför att behandlingen också strider mot personuppgiftslagen, med konsekvens att sekretess gäller för uppgifterna.

Rättslig reglering m.m.

Enligt 21 kap. 7 § offentlighets- och sekretesslagen gäller sekretess för personuppgift, om det kan antas att ett utlämnande skulle medföra att uppgiften behandlas i strid med personuppgiftslagen.

För att en personuppgiftsbehandling ska vara tillåten enligt personuppgiftslagen måste den bl.a. vara förenlig med de grundläggande kraven i 9 § och dessutom vara tillåten på någon av de grunder som anges i 10 §.

Enligt 9 § första stycket a) personuppgiftslagen ska den som är personuppgiftsansvarig se till att personuppgifter behandlas bara om det är lagligt. Bestämmelsen har sin grund i artikel 6 i dataskyddsdirektivet (95/46/EG).

I det kommittébetänkande som låg till grund för genomförandet av dataskyddsdirektivet uttalades att det framgår av den föreslagna lagen och anknytande lagstiftning när en behandling är laglig. Det angavs vidare att en motsvarighet till direktivbestämmelsen togs med i lagen för säkerhets och fullständighets skull, trots att det enligt kommittén föreföll osäkert om den hade någon självständig betydelse (SOU 1997:39 s. 350).

Enligt 19 § första stycket marknadsföringslagen får en näringsidkare vid marknadsföring till en fysisk person använda elektronisk post bara om personen har samtyckt till det på förhand.

Högsta förvaltningsdomstolens bedömning

Underinstanserna har funnit att ett utlämnande av de begärda uppgifterna kan medföra att dessa behandlas i strid med 19 § första stycket marknadsföringslagen och därmed även i strid med kravet i 9 § första stycket a) personuppgiftslagen på att personuppgiftsbehandlingen ska vara laglig. Sekretess har därför ansetts gälla för uppgifterna enligt 21 kap. 7 § offentlighets- och sekretesslagen. Frågan är om underinstanserna haft fog för att på den grunden vägra att lämna ut de begärda uppgifterna.

Kravet i 9 § första stycket a) personuppgiftslagen på att personuppgifter får behandlas bara om det är lagligt har sin grund i artikel 6.1 a) i dataskyddsdirektivet. Där anges att medlemsstaterna ska föreskriva att personuppgifter ska behandlas på ett ”lagligt” sätt. Artikeln finns i direktivets kapitel II som enligt sin rubrik innehåller allmänna bestämmelser om när personuppgifter ”får” behandlas. Kapitlet inleds med artikel 5 där det anges att medlemsstaterna, inom de begränsningar som bestämmelserna i kapitlet innebär, ska precisera på vilka villkor behandling av personuppgifter är ”tillåten”.

Den svenska språkversionen av direktivet kan således läsas som att kravet på laglighet enligt artikel 6.1 a) är ett av de krav som måste uppfyllas för att en behandling av personuppgifter ska vara tillåten, och därmed ge intryck av att kravet har en självständig betydelse.

Andra språkversioner av direktivet ger dock en annan bild av innebörden av detta krav. I flera språkversioner anges redan i rubriken till kapitel II att kapitlet innehåller allmänna bestämmelser om personuppgiftsbehandlingens ”laglighet”, se t.ex. den engelska (”lawfulness”), den franska (”licéité”) och den tyska (”rechtmässigkeit”). På motsvarande sätt anges i artikel 5 i dessa språkversioner att medlemsstaterna ska precisera på vilka villkor behandling av personuppgifter är ”laglig” (”lawful” i den engelska, ”licites” i den franska och ”rechtmässig” i den tyska språkversionen). Samma uttryckssätt återkommer sedan i artikel 6.1 a) (”lawfully”, ”licitement” och ”rechtmässige”). Flera andra språkversioner är utformade på motsvarande sätt.

Till skillnad från den svenska språkversionen används i andra språkversioner således samma uttryckssätt - som tar sikte på personuppgiftsbehandlingens laglighet - såväl i rubriken till kapitel II och i artikel 5 som i artikel 6.1 a). I ljuset av dessa språkversioner bör artikel 6.1 a) tolkas så att kravet på att personuppgifter ska behandlas på ett lagligt sätt inte har någon självständig betydelse, utan endast är en erinran om att medlemsstaterna är skyldiga att föreskriva att behandling av personuppgifter ska ske i enlighet med regleringen i direktivet.

Förutom de krav på personuppgiftsbehandling som finns i kapitel II innehåller även kapitel IV bestämmelser som avser frågan om när personuppgifter får behandlas (se EU-domstolens dom Lindqvist, C-101/01, EU:C:2003:596, p. 63). För att en behandling av personuppgifter ska vara laglig i direktivets mening fordras alltså att den är förenlig med bestämmelserna i kapitel II och IV. Dessa bestämmelser har i svensk rätt genomförts genom personuppgiftslagen och personuppgiftsförordningen (1998:1191).

Mot denna bakgrund bör kravet i 9 § första stycket a) personuppgiftslagen på att behandlingen ska vara laglig tolkas på så sätt att behandlingen ska vara förenlig med bestämmelserna i den lagen och föreskrifter som har meddelats med stöd av lagen. Den omständigheten att en planerad behandling kan komma att strida mot marknadsföringslagen innebär däremot inte att den också kommer i konflikt med kravet på laglighet i personuppgiftslagen.

Sekretessregeln i 21 kap. 7 § offentlighets- och sekretesslagen hindrar därmed inte på den av underinstanserna angivna grunden att de begärda uppgifterna lämnas ut. Sekretessprövningen enligt den regeln förutsätter emellertid även en bedömning av om ett utlämnande kan antas medföra att uppgifterna behandlas i strid med någon annan bestämmelse i personuppgiftslagen. Det bör ankomma på Skolverket att som första instans göra denna prövning. Målet ska därför visas åter till Skolverket för ny handläggning.

Kammarrätten i Stockholm (2015-10-21, Åberg och Aldestam):

[text här utelämnad]

I förevarande mål avser begäran e-postadresserna till personer som har meddelats eller har ansökt om lärarlegitimation, dvs. fysiska personer. Det har inte framkommit att berörda personer på förhand har samtyckt till att få marknadsföring genom e-post från bolag som bedriver sådan verksamhet som bolaget bedriver. Mot den bakgrunden anser kammarrätten att ett utlämnande kan medföra att de efterfrågade uppgifterna behandlas i strid med 19 § första stycket marknadsföringslagen och därmed även i strid med 9 § första stycket a) personuppgiftslagen. Uppgifterna omfattas därmed av sekretess enligt 21 kap. 7 § offentlighets- och sekretesslagen och kan inte lämnas ut (jfr. t.ex. Kammarrätten i Göteborgs dom den 14 juni 2010 i mål nr 1811-10 samt Kammarrätten i Jönköpings dom den 8 januari 2015 i mål nr 2710-14). Vad bolaget har framfört om att informationen är arbetsrelaterad och inte integritetskränkande medför ingen annan bedömning. Överklagandet ska därför avslås. - Kammarrätten avslår överklagandet.

Skiljaktig