HFD 2021:10

Fråga om bestämmelsen om uppgiftsskyldighet mellan myndigheter i offentlighets- och sekretesslagen är förenlig med EU:s dataskyddsförordning och om vilken prövning som ska göras då en myndighet begär att få ta del av personuppgifter med stöd av bestämmelsen.

Bakgrund

1. Socialstyrelsen ansvarar för att föra ett register över legitimerad hälso- och sjukvårdspersonal. Registret regleras av en särskild förordning som anger för vilka ändamål – syften – som Socialstyrelsen får behandla uppgifterna. Det finns flera olika ändamål angivna, bl.a. att uppgifterna får behandlas för att utöva tillsyn över hälso- och sjukvården och dess personal, för att kontrollera hälso- och sjukvårdspersonals identitet och behörighet i samband med tjänstetillsättning och under anställning samt för att kontrollera hälso- och sjukvårdspersonals identitet och behörighet att utfärda intyg. Det finns också ändamålsbestämmelser av annat slag, bl.a. om att uppgifter i registret får tillföras andra register.

2. Registret innehåller, förutom uppgifter om t.ex. yrke, namn, personnummer, samordningsnummer eller andra liknande identitetsbeteckningar, uppgifter om förskrivarkoder. En förskrivarkod består av ett antal siffror och måste anges på recept på läkemedel. Förskrivarkoder utfärdas av Socialstyrelsen. Läkare, tandhygienister och tandläkare får en personlig förskrivarkod i samband med beslutet om legitimation och sjuksköterskor och barnmorskor som ansöker om förskrivningsrätt får en personlig förskrivarkod genom särskilda beslut.

3. Enligt en bestämmelse i offentlighets- och sekretesslagen (2009:400) ska en myndighet på begäran av en annan myndighet lämna uppgifter som den förfogar över, om inte uppgifterna är sekretessbelagda eller det skulle hindra arbetets behöriga gång.

4. Region Stockholm begärde med stöd av den nämnda bestämmelsen om uppgiftsskyldighet att Socialstyrelsen skulle lämna ut de förskrivarkoder som är kopplade till ofullständiga person- eller samordningsnummer. Syftet med begäran var att kontrollera vissa personers identitet och behörighet för att kunna förhindra obehörig förskrivning av läkemedel och felaktiga utbetalningar av läkemedelsförmåner.

5. Socialstyrelsen avslog begäran med motiveringen att ett utlämnande förutsatte att såväl Socialstyrelsens som regionens behandling av uppgifterna omfattades av något av de ändamål som anges i förordningen. Eftersom regionens syfte inte omfattades av förordningens ändamålsbestämmelser kunde uppgifterna inte lämnas ut.

Kammarrätten i Stockholm

6. Region Stockholm överklagade beslutet till Kammarrätten i Stockholm. Enligt kammarrätten framstod ett utlämnande enligt bestämmelsen om uppgiftsskyldighet som oförenligt med de ändamål för vilka uppgifterna samlats in. Eftersom ändamålsbestämmelserna i förordningen utgör unionsrätt får principen om unionsrättens företräde anses innebära att den uppgiftsskyldighet som framgår av bestämmelsen i offentlighets- och sekretesslagen begränsas av ändamålsbestämmelserna i registerförordningen i den mån de innebär att ett utlämnande inte får ske. Förutsättningarna enligt såväl bestämmelsen om uppgiftsskyldighet som enligt någon av ändamålsbestämmelserna i förordningen måste därför vara uppfyllda för att uppgifterna ska kunna lämnas ut.

7. Enligt kammarrätten ankom det dock inte på den, att i ett mål gällande tillämpning av offentlighets- och sekretesslagen, pröva om ett utlämnande var tillåtet enligt förordningen. Det kammarrätten kunde pröva var om hinder mot utlämnande förelåg på grund av sekretess eller arbetets behöriga gång. Detta hade inte prövats av Socialstyrelsen. Kammarrätten återförvisade därför målet till Socialstyrelsen för prövning av om hinder mot utlämnande förelåg på grund av sekretess eller arbetets behöriga gång.

Yrkanden m.m.

8. Region Stockholm vidhåller sin begäran.

Skälen för avgörandet

Frågan i målet

9. Frågan i målet är vilken prövning som ska göras innan personuppgifter i Socialstyrelsens register över hälso- och sjukvårdspersonal kan lämnas till en annan myndighet med stöd av bestämmelsen om uppgiftsskyldighet mellan myndigheter i offentlighets- och sekretesslagen.

Rättslig reglering m.m.

10. Enligt 1 § förordningen (2006:196) om register över hälso- och sjukvårdspersonal (registerförordningen) ska Socialstyrelsen för de ändamål som anges i 4 och 5 §§ med hjälp av automatiserad behandling föra ett register över hälso- och sjukvårdspersonal. Socialstyrelsen är enligt 3 a § personuppgiftsansvarig för registret.

11. Enligt 2 § första stycket innehåller registerförordningen bestämmelser som kompletterar EU:s dataskyddsförordning, 2016/679. I andra stycket anges att vid behandling av personuppgifter enligt registerförordningen gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av registerförordningen.

12. Av 4 § registerförordningen framgår att personuppgifterna i registret får behandlas för att föra en aktuell förteckning över legitimerad hälso- och sjukvårdspersonal. Personuppgifterna får vidare enligt 5 §, utöver det som anges i 4 §, behandlas endast för sju specifika i bestämmelsen angivna ändamål.

13. EU:s dataskyddsförordning gäller för behandling av personuppgifter som sker automatiserat i såväl offentlig som privat verksamhet. Förordningen är direkt tillämplig men har i vissa delar en direktivliknande karaktär genom att den både förutsätter och medger nationella bestämmelser (prop. 2017/18:105 s. 21 f.). Inom EU gäller också ett dataskyddsdirektiv, 2016/680. Dataskyddsdirektivet gäller myndigheters behandling av personuppgifter för att bl.a. förebygga, utreda, avslöja eller lagföra brott. Direktivet har i huvudsak genomförts genom brottsdatalagen (2018:1177). EU:s dataskyddsförordning och dataskyddsdirektivet bygger på samma principer. I båda rättsakterna kommer vad som brukar kallas finalitetsprincipen till uttryck.

14. I artikel 4.7 i EU:s dataskyddsförordning anges att med personuppgiftsansvarig avses en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter.

15. I artikel 5 i förordningen anges de grundläggande principerna för behandling av personuppgifter, bl.a. att uppgifterna ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade, att de ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas, att de ska vara korrekta och om nödvändigt uppdaterade samt att de ska behandlas på ett sätt som säkerställer lämplig säkerhet för uppgifterna.

16. Finalitetsprincipen kommer till uttryck i förordningen genom att det i artikel 5.1 b anges att personuppgifter ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Det innebär att om en tilltänkt behandling av redan insamlade personuppgifter inte omfattas av de ursprungliga ändamålen måste det göras en bedömning av om ändamålet med den senare behandlingen är förenligt med de ursprungliga ändamålen eller inte.

17. Enligt artikel 4.1 i dataskyddsdirektivet ska medlemsstaterna föreskriva att personuppgifter ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte behandlas på ett sätt som står i strid med dessa ändamål. Av artikel 4.2 framgår att behandling för andra ändamål inom direktivets tillämpningsområde än det för vilket personuppgifterna samlades in ska tillåtas under förutsättning att den personuppgiftsansvarige i enlighet med unionsrätten eller medlemsstaternas nationella rätt är bemyndigad att behandla personuppgifter för ett sådant ändamål. Dessutom krävs att behandlingen är nödvändig och står i proportion till detta andra ändamål i enlighet med unionsrätten eller nationell rätt.

18. Av 2 kap. 4 § första stycket brottsdatalagen framgår att innan personuppgifter får behandlas för ett nytt ändamål ska det säkerställas att det finns en rättslig grund för den nya behandlingen och att det är nödvändigt och proportionerligt att personuppgifterna behandlas för det nya ändamålet. I andra stycket stadgas att i den utsträckning en skyldighet att lämna uppgifter följer av lag eller förordning ska någon prövning enligt första stycket inte göras.

19. Enligt 6 kap. 5 § offentlighets- och sekretesslagen ska en myndighet på begäran av en annan myndighet lämna uppgift som den förfogar över, om inte uppgiften är sekretessbelagd eller det skulle hindra arbetets behöriga gång. Bestämmelsen anses utgöra en precisering av den allmänna samverkansskyldighet som gäller för myndigheter enligt 8 § förvaltningslagen (2017:900). Uppgiftsskyldigheten omfattar varje uppgift som myndigheten förfogar över, alltså även uppgifter ur handlingar som inte är allmänna (prop. 1979/80:2 Del A s. 89 och 361).

Högsta förvaltningsdomstolens bedömning

20. Utgångspunkten är att det är den personuppgiftsansvarige som bestämmer ändamålen för behandlingen.

21. I Sverige regleras sedan lång tid tillbaka behandlingen av personuppgifter inom företrädesvis den offentliga sektorn genom s.k. registerförfattningar. En registerförfattning kan avse exempelvis en specifik myndighet eller ett specifikt område. I författningen anges ofta de ändamål för vilka personuppgifterna får behandlas, dvs. lagstiftaren har tagit över uppgiften att bestämma ändamålen och har alltså gjort detta i den personuppgiftsansvariges ställe.

22. Ändamålsregleringen i en registerförfattning kan vara sådan att den uttömmande anger de ändamål för vilka uppgifterna får behandlas. Detta framgår ofta genom att det i författningen anges att personuppgifterna ”endast” får behandlas för vissa angivna ändamål. Vidarebehandling för andra ändamål är då inte tillåten. I sådana fall brukar det anges att finalitetsprincipen ”inte gäller” (prop. 2017/18:171 s. 90). I andra fall anger ändamålsbestämmelserna en yttre ram inom vilken uppgifterna får behandlas. I sådana fall är det finalitetsprincipen som ytterst sätter gränsen för vad som kan anses vara en tillåten behandling, dvs. den som är personuppgiftsansvarig måste göra en kontroll av huruvida en senare behandling är oförenlig med de ändamål för vilka uppgifterna först samlades in.

23. I lagstiftningsärendet gällande dataskyddslagen togs ställning till registerförfattningarnas förenlighet med EU:s dataskyddsförordning. Regeringen uttalade att det även fortsättningsvis fanns ett utrymme för sådan sektorsspecifik särreglering om behandling av personuppgifter som finns i de svenska registerförfattningarna (prop. 2017/18:105 s. 21 f.). Vad gäller ändamål uttalade regeringen att förordningen inte ställer något krav på att de ska vara fastställda i författning men att det heller inte finns något som hindrar att detta görs, under förutsättning att bestämmelserna uppfyller ett mål av allmänt intresse och är proportionella mot det legitima mål som eftersträvas (a. prop. s. 48, 50 f. och 54).

24. Det råder således ingen tvekan om att det under förutsättning att vissa grundläggande krav upprätthålls, är tillåtet att i nationell rätt bestämma både de ändamål för vilka personuppgifter får behandlas och de ändamålsbegränsningar som lagstiftaren anser ska gälla. En ändamålsreglering av det slag som tagits in i den nu aktuella registerförordningen aktualiserar därmed inte en tillämpning av principen om unionsrättens företräde.

25. Bestämmelser om ändamål gäller vidare endast för dem som omfattas av regleringen i fråga. Den nu aktuella registerförordningen gäller således endast för Socialstyrelsens behandling av personuppgifter. Den behandling av personuppgifter som kan komma att utföras av Region Stockholm om uppgifter ur registret lämnas dit regleras därmed inte av registerförordningen utan av de dataskyddsregler som gäller för regionen.

26. Ändamålsbestämmelserna i registerförordningen är alltså inte av unionsrättslig karaktär och reglerar heller inte regionens planerade behandling.

27. Kammarrätten har emellertid ansett att ett utlämnande enligt 6 kap. 5 § offentlighets- och sekretesslagen framstår som oförenligt med finalitetsprincipen. I den frågan gör Högsta förvaltningsdomstolen följande bedömning.

28. Ett utlämnande av personuppgifter innebär i sig att personuppgifter ”behandlas”. Dataskyddsreglerna gäller alltså även för utlämnandet som sådant. Visserligen undantas utlämnande av allmänna handlingar enligt 2 kap.tryckfrihetsförordningen från dataskyddsregleringen (jfr 1 kap. 7 § dataskyddslagen). Reglerna i 2 kap.tryckfrihetsförordningen gäller emellertid inte när myndigheter lämnar uppgifter till varandra. Detta innebär att när en myndighet enligt 6 kap. 5 § offentlighets- och sekretesslagen lämnar personuppgifter till en annan myndighet så gäller de grundläggande principerna i EU:s dataskyddsförordning för den behandlingen. Uppgiftslämnandet som sådant måste därmed följa de principer som anges i artikel 5, alltså bl.a. finalitetsprincipen och principen om uppgiftsminimering, dvs. att inte fler uppgifter än vad som behövs lämnas ut.

29. Vad gäller finalitetsprincipen har det, bl.a. i samband med olika utredningsarbeten, diskuterats hur den och 6 kap. 5 § offentlighets- och sekretesslagen förhåller sig till varandra (SOU 2003:99 s. 231 f., SOU 2015:39 s. 283 f. och 435 f. och SOU 2017:74 s. 405). Det har t.ex. gjorts gällande att behandling av personuppgifter i form av ett utlämnande är förenligt med finalitetsprincipen om uppgifterna inte omfattas av sekretess. Mot detta har det anförts att personuppgifter kan vara integritetskänsliga trots att de inte omfattas av sekretess och att en tolkning som reducerar finalitetsprincipen till en ren sekretessprövning måste anses vara mycket tillåtande.

30. Frågan berördes inte i samband med lagstiftningsärendet rörande införandet av dataskyddslagen (jfr prop. 2017/18:105 s. 126 f.). I lagstiftningsärendet gällande brottsdatalagen har dock frågan om hur bestämmelser om uppgiftsskyldighet förhåller sig till behandling av personuppgifter för nya ändamål behandlats. I propositionen uttalar regeringen att när det i lag eller förordning föreskrivs att uppgifter ska lämnas har lagstiftaren tagit ställning till att det dels är så viktigt att det ska införas en skyldighet att lämna information, dels att eventuell sekretess ska brytas. Lagstiftaren får då också anses ha tagit ställning till att uppgiftslämnandet är nödvändigt och proportionerligt. I sådana fall ska det därför inte – vilket annars gäller enligt brottsdatalagen – göras en prövning av om behandlingen av personuppgifterna för det nya ändamålet är nödvändig och proportionerlig. Detsamma sägs uttryckligen gälla även beträffande 6 kap. 5 § offentlighets- och sekretesslagen (prop. 2017/18:232 s. 137 f.). Genom bestämmelser om uppgiftsskyldighet och sekretess anses alltså syftet med finalitetsprincipen uppnås, dvs. uppgiftslämnandet anses vara nödvändigt och proportionerligt i de fall uppgifterna inte omfattas av sekretess.

31. Enligt Högsta förvaltningsdomstolens mening bör motsvarande synsätt anläggas beträffande förhållandet mellan 6 kap. 5 § offentlighets- och sekretesslagen och finalitetsprincipen enligt EU:s dataskyddsförordning. Genom sekretessbestämmelser hindras myndigheterna från att lämna bl.a. integritetskänsliga uppgifter till andra myndigheter. Härigenom får lagstiftaren anses ha tagit ställning till när ett uppgiftslämnande är oförenligt med det eller de ändamål för vilka uppgifterna samlades in. Utöver sekretessprövningen ska den personuppgiftsansvariga myndigheten således inte göra någon kontroll av förenligheten med finalitetsprincipen i samband med lämnande av uppgifter enligt 6 kap. 5 § offentlighets- och sekretesslagen.

32. Frågan är då om Socialstyrelsen enligt 6 kap. 5 § offentlighets- och sekretesslagen är skyldig att lämna de personuppgifter som Region Stockholm har begärt att få ta del av.

33. Enligt bestämmelsen ska uppgifterna lämnas om de inte är sekretessbelagda eller det skulle hindra arbetets behöriga gång. I målet är upplyst att Socialstyrelsen anser att varken sekretess eller arbetets behöriga gång hindrar att uppgifterna lämnas. Socialstyrelsen är därmed skyldig att lämna uppgifter till Region Stockholm.

34. Som har framgått ska uppgiftslämnandet också vara förenligt med bl.a. de grundläggande principerna för behandling av personuppgifter, exempelvis att uppgiftslämnandet som sådant ska omfattas av lämpliga säkerhetsåtgärder och att fler uppgifter än vad som behövs för att uppfylla regionens behov inte får lämnas. Det ankommer på Socialstyrelsen att säkerställa att personuppgifterna lämnas till Region Stockholm i enlighet med tillämpliga dataskyddsregler.

Domslut

Högsta förvaltningsdomstolens avgörande

Högsta förvaltningsdomstolen bifaller överklagandet och beslutar att Socialstyrelsen ska lämna uppgifter till Region Stockholm i enlighet med vad som anges under rubriken Skälen för avgörandet.

I avgörandet deltog justitieråden Jermsten, Saldén Enérus, Svahn Starrsjö, von Essen och Rosén Andersson. Föredragande var justitiesekreteraren Malin Karlsson.

______________________________

Kammarrätten i Stockholm (2019-12-19, Brege, Eke och Lövung):

Enligt 6 kap. 7 § andra stycket offentlighets- och sekretesslagen (OSL) får en myndighet överklaga ett beslut av en annan myndighet att avslå den första myndighetens begäran att få ta del av en handling eller på annat sätt få del av en uppgift, om inte annat anges i lag eller förordning. Av 6 kap. 8 § första stycket OSL gäller att beslut som avses i 7 § första och andra styckena överklagas till kammarrätt om annat inte följer av andra–femte styckena. Inget av de undantag som finns i andra–femte styckena är tillämpligt i förevarande fall.

För att kammarrätten ska kunna pröva regionens överklagande enligt nyssnämnda bestämmelser krävs att fråga är om tillämpning av OSL. Någon författningsbestämmelse som gör det möjligt för kammarrätten att, utan att fråga är om tillämpning av OSL, göra en prövning av huruvida regionens begäran ger Socialstyrelsen rätt att behandla personuppgifter i registret över hälso- och sjukvårdspersonal (hosp-registret) på det sätt som framgår i 5 § förordningen (2006:196) om register över hälso- och sjukvårdspersonal (hosp-förordningen), finns inte. Överklagandet i den del det avser regionens förstahandsgrund kan kammarrätten därför inte pröva.

Vidare konstaterar kammarrätten att regionen hos kammarrätten synes göra gällande att regionen skulle ha en på 2 kap.tryckfrihetsförordningen (TF) grundad rätt att få ut de begärda uppgifterna. Denna grund har inte uttryckligen prövats av Socialstyrelsen i det överklagade beslutet. Av handlingarna i målet framgår dock att Socialstyrelsen under hand till regionen angett att eftersom regionen är en myndighet så har Socialstyrelsen uppfattat det som att uppgifterna begärs ut med stöd av 6 kap. 5 § OSL och inte med stöd av TF. Kammarrätten anser sig mot den bakgrunden oförhindrad att som sin uppfattning uttala att bestämmelserna i 2 kap. TF endast gäller allmänhetens tillgång till allmänna handlingar och att bestämmelserna i 2 kap. TF inte grundar någon rätt för regionen att få ut de begärda uppgifterna (ang. olika uppfattningar i denna fråga, se t.ex. Samverkan och Sekretess, Rickard Karlsson, Skrift nr 33 från juridiska institutionen vid Umeå universitet, s. 79 ff.).

Regionen har även åberopat 6 kap. 5 § OSL som grund för sin begäran.

Av 6 kap. 5 § OSL framgår att en myndighet, på begäran av en annan myndighet, ska lämna en uppgift som den förfogar över, om inte uppgiften är sekretessbelagd eller det skulle hindra arbetets behöriga gång.

Socialstyrelsen har avslagit regionens begäran och angett att Socialstyrelsen bedömer att ett utlämnande enligt 6 kap. 5 § OSL, mot bakgrund av uttalanden i förarbetena till OSL, förutsätter att Socialstyrelsens behandling omfattas av något av de ändamål som är uttömmande uppräknade i 4 och 5 §§ hosp-förordningen, vilket Socialstyrelsen anser att den begärda behandlingen inte gör.

Fråga är då om ett utlämnande enligt 6 kap. 5 § OSL i förevarande fall förutsätter att utlämnandet omfattas av något av de ändamål som är uttömmande uppräknade i 4 eller 5 §§ hosp-förordningen.

De uttalanden Socialstyrelsen hänvisar till i sitt beslut är SOU 2003:99, Ny sekretesslag del 1 s. 237. Där anges bl.a. följande beträffande 15 kap. 5 § sekretesslagen (1980:100), den bestämmelse i den numera upphävda sekretesslagen som motsvarar nu gällande 6 kap. 5 § OSL.

Om det visar sig vara så att en särskild lag om behandling av personuppgifter uttömmande anger i vilka fall uppgifter får lämnas är finalitetsprincipen inte tillämplig. Skulle utlämnandet ske efter begäran bör det närmast vara 15 kap. 5 § sekretesslagen som utgör den generella lagstiftningen, medan den särskilda lagen om behandling av personuppgifter blir lex specialis i förhållande till 15 kap. 5 §. Bestämmelserna i registerlagstiftningen skulle alltså i detta fall gå före sekretesslagen och utlämnandet utgöra en otillåten behandling.

Regionen har häremot anfört i huvudsak följande. Uttalandena i SOU 2003:39 tar sikte på särskild lag om behandling av personuppgifter. De ändamål Socialstyrelsen hänvisar till anges i förordning. Det finns inget undantag i OSL från bestämmelsen i 6 kap. 5 § samma lag.

Enligt kammarrättens mening bör – med hänsyn till att det av 5 § 3 hosp-förordningen framgår att personuppgifterna i registret får behandlas för ändamålet att lämna uppgifter till myndigheter i enlighet med det som föreskrivs i annan författning – en bedömning först göras av om den uppgiftslämnandeskyldighet som regleras i 6 kap. 5 § OSL – som endast stipulerar att sekretess och hindrande av arbetets behöriga gång, utgör hinder mot utlämnande av uppgifter – är förenlig med regleringen i hosp-förordningen om att personuppgifterna i hosp-registret endast får behandlas genom att t.ex. lämnas ut om något av ändamålen i 4 eller 5 §§ hosp-förordningen är uppfyllda.

Av det överklagade beslutet framgår att Socialstyrelsens uppfattning är att regleringen i 5 § 3 hosp-förordningen inte avser någon sådan generell uppgiftsskyldighet som följer av 6 kap. 5 § OSL utan avser mer specifikt föreskrivna uppgiftsskyldigheter gällande sådana uppgifter som finns i registret.

Enligt kammarrättens mening går det inte av regeln i 5 § 3 hosp-förordningen att utläsa att den endast skulle omfatta mer specifikt föreskrivna uppgiftsskyldigheter (jfr t.ex. Lagrådets uttalande i prop. 2002/02:135 s. 161). Det förefaller därför enligt kammarrättens mening inte föreligga någon normkollision mellan 6 kap. 5 OSL och ändamåls-bestämmelserna i hosp-förordningen.

Bestämmelserna i hosp-förordningen kompletterar dock EU:s dataskyddsförordning. Fråga uppkommer därför om denna tolkning av bestämmelsen i 5 § 3 hosp-förordningen är förenlig med EU:s dataskydds-förordning.

För att vara tillåten ska en behandling av personuppgifter bl.a. ske i enlighet med de principer som gäller enligt artikel 5 i EU:s dataskyddsförordning. Enligt artikel 5.1 b) gäller att personuppgifter ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med detta ändamål. Det krävs också att behandlingen uppfyller åtminstone ett av de i artikel 6.1 EU:s dataskyddsförordningen angivna villkoren. Det villkor som närmast är av intresse i förevarande fall är villkoret om att behandlingen är nödvändig för att uppfylla en rättslig förpliktelse (artikel 6.1.c).

I 2 kap. 1 § dataskyddslagen har införts en bestämmelse i förtydligande syfte (se prop. 2017/78:105 s. 54) av vilken det bl.a. framgår följande. Personuppgifter får behandlas med stöd av artikel 6.1.c i EU:s dataskyddsförordning om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra en rättslig förpliktelse som följer av lag.

Kammarrätten kan konstatera att skyldigheten enligt 6 kap. 5 § OSL för en myndighet att på begäran lämna ut uppgifter inte, i det fall en begäran såsom i förevarande fall innefattar personuppgifter, kan uppfyllas på annat sätt än genom att personuppgifterna lämnas ut. Behandlingen är således nödvändig. Behandlingen följer av lag. Kammarrätten anser därför att den uppgiftslämnandeskyldighet som regleras i 6 kap. 5 § OSL får anses vara en sådan rättslig förpliktelse som avses i artikel 6.1.c EU:s dataskydds-förordning.

Enligt artikel 5.1 b) gäller också ett krav på att personuppgifter ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med detta ändamål.

Fråga uppkommer då om ett utlämnande enligt 6 kap. 5 § OSL, dvs. till en annan myndighet på begäran av denna andra myndighet, kan anses vara oförenligt med de särskilda och uttryckligt angivna ändamål för vilka personuppgifterna samlats in. Enligt kammarrättens bedömning framstår ett utlämnande enligt 6 kap. 5 § OSL som oförenligt med de särskilda och uttryckligt angivna ändamål för vilka personuppgifterna samlats in, förutsatt i förevarande fall att något annat av de i 5 § hosp-förordningen angivna ändamålen inte är uppfyllt. Kammarrätten anser därför att bestämmelsen i 5 § 3 hosp-förordningen, tolkad mot bakgrund av EU:s dataskyddsförordning, inte avser någon sådan generell uppgiftslämnande¬skyldighet som regleras i 6 kap. 5 OSL utan endast mer specifika uppgiftsskyldigheter.

Härav följer också enligt kammarrättens mening att den uppgiftslämnandeskyldighet som regleras i 6 kap. 5 § OSL – som endast stipulerar att sekretess och hindrande av arbetets behöriga gång, utgör hinder mot utlämnande av uppgifter – inte synes vara förenlig med regleringen i hosp-förordningen om att personuppgifterna i hosp-registret endast får behandlas genom att t.ex. lämnas ut om något av ändamålen i 4 eller 5 §§ hosp-förordningen är uppfyllda.

I hosp-förordningen finns bestämmelser som kompletterar EU:s dataskyddsförordning. Bestämmelserna om för vilka ändamål personuppgifterna i hosp-registret endast får användas av Socialstyrelsen utgör enligt kammarrättens mening sådana bestämmelser som kompletterar EU:s dataskyddsförordning.

Enligt kammarrättens mening får därför principen om EU-rättens företräde anses innebära att den utlämnandeskyldighet som framgår av 6 kap. 5 § OSL begränsas av ändamålsbestämmelserna i hosp-förordningen i den mån de bestämmelserna innebär att ett utlämnande inte får ske. Detta innebär med andra ord att såväl förutsättningarna enligt 6 kap. 5 § OSL som någon av de ändamålsbestämmelser som anges i hosp-förordningen måste vara uppfyllda för att ett utlämnande ska få ske av de begärda uppgifterna.

Det ankommer dock inte på kammarrätten att i ett mål av förevarande art, i större omfattning än vad som redan skett i denna dom, pröva huruvida någon av ändamålsbestämmelserna i hosp-förordningen är uppfyllda i förevarande fall. Det ankommer inte heller på kammarrätten att pröva huruvida någon annan bestämmelse i hosp-förordningen innebär att ett utlämnande är tillåtet enligt den förordningen. Det kammarrätten kan pröva i förevarande mål är endast om hinder mot utlämnande föreligger på grund av sekretess eller arbetets behöriga gång. Dessa frågor har inte prövats av Socialstyrelsen. De frågorna bör prövas av Socialstyrelsen som första instans. Socialstyrelsens beslut ska därför upphävas och målet visas åter till Socialstyrelsen för prövning av om hinder mot utlämnande föreligger på grund av sekretess eller arbetets behöriga gång.

– Kammarrätten upphäver det överklagade beslutet och återförvisar målet till Socialstyrelsen för en prövning enligt 6 kap. 5 § offentlighets- och sekretesslagen av om hinder mot utlämnande föreligger på grund av sekretess eller arbetets behöriga gång.