Quras begäran

HD:s avgörande

HD (justitieråden Anders Eka, Petter Asp, referent, Malin Bonthron, Mathias Säfsten och Erik Lindberg) meddelade den 12 juni 2026 följande beslut.

Skäl

Bakgrund

1Qura AB är ett bolag som med utgivningsbevis bedriver en rättsdata­bastjänst. Bolaget begärde hos Göta hovrätt att få del av samtliga domar och, med vissa undantag, särskilt uppsatta slutliga beslut som hovrätten meddelat under perioden den 1 oktober 2023 till den 1 september 2025. Qura uppgav att ett förbehåll kunde uppställas i förhållande till bolagets verkställande direktör.

2Hovrätten har konstaterat att Qura begärt att få del av ett större antal allmänna handlingar som innehåller personuppgifter om lagöverträdel­ser och andra personuppgifter av känslig natur. Mot den bakgrunden, och med beaktande av den omfattande behandling av personuppgifter som sker hos Qura, har hovrätten ansett att det kan antas att de personuppgifter som finns i de begärda handlingarna kommer att behandlas på ett sätt som är oförenligt med dataskyddsförordningen², däribland artiklarna 6, 9 och 10. Personuppgifter i handlingarna har därför av hovrätten bedömts vara föremål för sekretess enligt 21 kap. 7 § offentlighets- och sekretesslagen (2009:400). Sekretessen har ansetts omfatta även andra mål än brottmål.

3Hovrätten har emellertid – med hänsyn till att Qura bedriver verksamhet som delvis kan antas ske för journalistiska ändamål – beslutat att lämna ut de begärda handlingarna med följande förbehåll.

– att handlingarna, oavsett i vilken form, inte får tillhandahållas allmänhe­ten eller betalande kunder om allmänheten eller kunderna däri­genom får del av personnamn, personnummer eller adress för enskilda personer, och

– inte heller på annat sätt får erbjuda allmänheten eller betalande kunder sökmöjligheter i handlingarna på ett sätt som ger tillgång till personnamn, personnummer eller adress för enskilda personer.

Målet i HD

4Frågorna i HD rör sekretessprövning och förbehåll i en situation där någon begär ut en stor mängd domar och andra handlingar och där det inte enbart är fråga om domar och handlingar i brottmål.

Allmänt om sekretess och förbehåll

5Enligt 21 kap. 7 § offentlighets- och sekretesslagen gäller sekretess för personuppgift, om det kan antas att uppgiften efter ett utlämnande kommer att behandlas i strid med bland annat dataskyddsförordningen.

6En bedömning enligt bestämmelsen behöver göras endast om det finns konkreta omständigheter som indikerar att mottagaren kommer att behandla uppgifterna på ett sätt som strider mot dataskyddsregleringen, t.ex. att det är fråga om ett massuttag. Någon fullständig bedöm­ning av om behandlingen kommer att strida mot dataskyddsförord­­ningen behöver inte göras. (Jfr prop. 2017/18:105 s. 135 f.)

7Om en myndighet finner att sådan risk för skada, men eller annan olägenhet som enligt en bestämmelse om sekretess hindrar att en uppgift lämnas till en enskild kan undanröjas genom ett förbehåll som inskränker den enskildes rätt att lämna uppgiften vidare eller utnyttja den, ska myndigheten enligt 10 kap. 14 § första stycket offentlighets- och sekretesslagen göra ett sådant förbehåll när uppgiften lämnas till den enskilde.

1 kap. 7 § dataskyddslagen

8Av 1 kap. 7 § lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) följer att dataskyddsförordningen inte ska tillämpas i den utsträckning det skulle strida mot tryckfrihetsförordningen eller yttrandefrihetsgrundlagen och att stora delar av dataskyddsförordningen inte heller ska tillämpas vid behandling av personuppgifter som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande.

Uppgiftsutlämnande som avser lagöverträdelser

Rättsliga utgångspunkter

9HD kom i rättsfallet ”GDPR och brottmålsdomarna” NJA 2025 s. 123 (I och II) till slutsatsen att 1 kap. 7 § dataskyddslagen ska tillämpas på ett sätt som låter sig förenas med dataskyddsförordningen. Detta innebär enligt rättsfallet att paragrafen ska tillämpas så att den inte hindrar att dataskyddsförordningen kan beaktas som en fristående måttstock vid en sekretessprövning enligt 21 kap. 7 § offentlighets- och sekretesslagen. Och det gäller oberoende av huruvida förordningen är tillämplig i den verksamhet i relation till vilken prövningen sker.

10Av ”GDPR och brottmålsdomarna” följer att förbehåll enligt 10 kap. 14 § offentlighets- och sekretesslagen kan uppställas också i fall där sekretess råder enligt 21 kap. 7 § och att detta kan vara ett sätt att i viss mån åstadkomma en sådan avvägning som dataskyddsförordningen kräver.

Bedömningen i detta fall

11När det gäller de uppgifter som lämnats ut till Qura och som avser lagöverträdelser kan det, med beaktande av den omfattande behandling av personuppgifterna som sker hos Qura, antas att personuppgifterna kommer att behandlas på ett sätt som är oförenligt med artikel 10 i dataskyddsförordningen. Sekretess gäller följaktligen för uppgifterna vid ett utlämnande till bolaget.

12Eftersom den verksamhet som Qura bedriver i viss utsträckning kan antas ske för journalistiska ändamål bör handlingarna, i den del de omfattas av sekretess, lämnas ut med ett förbehåll som gör att intresset av att kunna bedriva den verksamheten balanseras mot integritets­­intresset.

13En rimlig balans mellan dessa intressen kan uppnås om förbehål­let utformas så att det tar sikte på att förhindra dels att handlingar i brottmål och andra handlingar som innehåller uppgifter om lagöver­trädelser som kan knytas till en viss person tillhandahålls av Qura eller annars görs sökbara för andra, dels att personuppgifterna görs sökbara för andra, men samtidigt inte förhindrar att uppgifterna används i t.ex. nyhetstexter eller nyhetsunderlag som Qura producerar.

14Förbehåll ska därför uppställas på det sätt som framgår av detta beslut.

Uppgiftsutlämnande som avser andra känsliga uppgifter

Rättsliga utgångspunkter

15När det gäller andra känsliga uppgifter än sådana som avser lagöver­trädelser innebär 1 kap. 20 § YGL att den grundlagens bestämmelser inte hindrar att det i lag meddelas föreskrifter om förbud mot offentliggörande av bland annat personuppgifter som avslöjar etniskt ursprung, hudfärg, politiska åsikter eller om hälsa, sexualliv eller sexuell läggning. Uppräkningen av olika typer av personuppgifter motsvarar den som finns i artikel 9 i dataskyddsförordningen. Undantaget från grundlagsskyddet gäller bara om personuppgifterna ingår i en uppgiftssamling som har ordnats så att det är möjligt att söka efter eller sammanställa dessa, och det med hänsyn till verksamheten och de former under vilka uppgiftssamlingen hålls tillgänglig finns särskilda risker för otillbörliga intrång i enskildas personliga integritet.

16Bestämmelsen i 1 kap. 20 § YGL medför – eftersom dataskyddsförordningen är en sådan lag som avses i paragrafen (se HFD 2024 ref. 43) – att dataskyddsförordningen i viss utsträckning gäller också i verksamhet som omfattas av YGL. Det följer då redan av 1 kap. 20 § att dataskyddsförordningen – i de delar det gäller offentliggörande av så­dana personuppgifter som omfattas av bestämmelsen – kan beaktas vid en prövning enligt 21 kap. 7 § offentlighets- och sekretesslagen. I dessa delar kan alltså en prövning enligt 21 kap. 7 § i relation till dataskyddsförordningen göras direkt med stöd av grundlagen, dvs. utan stöd av den tolkning av 1 kap. 7 § dataskyddslagen som HD gjorde i rättsfallet ”GDPR och brottmålsdomarna”.

17Det förhållandet att dataskyddsförordningen i viss utsträckning gäller i en grundlagsskyddad verksamhet enligt 1 kap. 20 § YGL innebär att den som begärt uppgifterna är skyldig att, inom de ramar som sätts av paragrafen, behandla dem på ett sätt som är förenligt med dataskyddsförordningen. Det innebär också att verksamheten i den delen kan bli föremål för bland annat tillsyn och sanktioner.

18Det nu sagda påverkar också den bedömning som ska göras enligt 21 kap. 7 § offentlighets- och sekretesslagen. Eftersom dataskyddsför­ordningen inom de ramar som sätts av 1 kap. 20 § YGL gäller för offentliggöranden av uppgifter måste en utgångspunkt för sekretessbedöm­ningen vara att förordningens regler i dessa delar kommer att följas i den behandling som sker efter att uppgifterna lämnats ut. Och i den mån så inte sker kan verksamheten alltså bli föremål för tillsyn och sanktioner. Utgångspunkten bör därför vara att sekretess enligt 21 kap. 7 § offentlighets- och sekretesslagen inte gäller i de delar som omfattas av bestämmelsen i 1 kap. 20 § YGL, såvida det inte av någon särskild anledning finns skäl att anta att dataskyddsförordningen inte kommer att föl­jas.

Bedömningen i detta fall

19Det saknas särskild anledning att anta att Qura inte kommer att respektera sina skyldigheter enligt dataskyddsförordningen. Det finns därför inte skäl att anta att Qura kommer att behandla personuppgifterna i strid med förordningen. Någon grund för sekretess avseende uppgifter som motsvarar sådana som omfattas av artikel 9 i dataskyddsförordningen finns därmed inte i detta fall.

Personuppgifter i övrigt

Det finns inte heller grund för sekretess såvitt gäller personuppgifter i övrigt i de begärda handlingarna (jfr hovrättens hänvisning till artikel 6 i dataskyddsförordningen).

HD:s avgörande

Det av hovrätten beslutade förbehållet ska ändras på så sätt att det innebär:

– att handlingar i brottmål, oavsett i vilken form, inte får tillhandahål­las allmänheten eller betalande kunder om allmänheten eller kunderna därigenom får del av personnamn, personnummer eller adress för enskilda personer, och

– att allmänheten eller betalande kunder inte heller på annat sätt får erbjudas sökmöjligheter i dessa handlingar på ett sätt som ger tillgång till personnamn, personnummer eller adress för enskilda personer.

Detsamma gäller i fråga om handlingar i andra mål i den utsträckning handlingen innehåller uppgifter om lagöverträdelser som kan knytas till en viss person.

HD erinrar om att EU:s dataskyddsförordning gäller i den utsträck­ning den innebär förbud mot att offentliggöra uppgifter av det slag som omfattas av 1 kap. 20 § YGL.