Högsta domstolen, mål Ä 3457-24

s. 1 Sida 1 av 31 i domstolens handling

• HÖGSTA DOMSTOLENS BESLUT · meddelat i Stockholm den 25 februari 2025
• Mål nr · Ä 3457-24

PARTER

Klagande Panoptes Sweden AB, 559199-4503 Nyhetsbyrån Siren Box 4211 102 65 Stockholm

Ombuden: Advokaterna UI och EK samt juristen GT

SAKEN Utlämnande av allmän handling

ÖVERKLAGAT AVGÖRANDE Hovrätten för Övre Norrlands beslut 2024-04-09, dnr 2024/91

s. 2 Sida 2 av 31 i domstolens handling

HÖGSTA DOMSTOLENS AVGÖRANDE

Det av hovrätten beslutade förbehållet ska ändras så att det innebär:

– att handlingarna, oavsett i vilken form, inte får tillhandahållas allmänheten eller betalande kunder om allmänheten eller kunderna därigenom får del av personnamn, personnummer eller adress för enskilda personer, och

– att Siren inte heller på annat sätt får erbjuda allmänheten eller betalande kunder sökmöjligheter i handlingarna på ett sätt som ger tillgång till personnamn, personnummer eller adress för enskilda personer.

YRKANDEN I HÖGSTA DOMSTOLEN

Panoptes Sweden AB har yrkat att Högsta domstolen ska undanröja hovrättens beslut och bifalla bolagets begäran om att få ta del av de önskade handlingarna utan förbehåll.

SKÄL

Bakgrund

1. Panoptes Sweden AB:s verksamhet innefattar inhämtning, bearbetning, analys och presentation av information. Bolaget driver Nyhetsbyrån Siren.

2. Sirens kärnverksamhet består i att identifiera och samla in underlag för nyheter och att förmedla sådant underlag till andra nyhetsorganisationer eller massmedier, såsom tidningar, tidskrifter och etermediaföretag. Eftersom Siren är en nyhetsbyrå omfattas den databas (siren.se) där bland annat brottmålsdomar tillhandahålls av grundlagsskydd enligt 1 kap. 4 § yttrandefrihetsgrundlagen.

s. 3 Sida 3 av 31 i domstolens handling

3. Siren har av hovrätten begärt att få ta del av ett större antal allmänna handlingar i brottmål, såsom domar, beslut, dagboksblad och stämnings- ansökningar.

4. Hovrätten har beslutat att de begärda handlingarna ska lämnas ut, men med förbehåll av följande innebörd. De personuppgifter som framgår av handlingarna får användas endast i journalistisk verksamhet och personnummer, personnamn och adress för enskilda personer får inte tillhandahållas allmänheten eller betalande kunder genom databasen eller registren. Som skäl för beslutet anförde hovrätten att det kan antas att uppgifterna efter ett utlämnande kommer att behandlas i strid med EU:s dataskyddsförordning1. Enligt hovrätten gällde därför sekretess för uppgifterna enligt 21 kap. 7 § offentlighets- och sekretesslagen (2009:400) och förbehåll utgjorde en lämplig skyddsåtgärd.

5. Bolaget har överklagat beslutet till Högsta domstolen. (Något prövningstillstånd krävs inte, jfr 54 kap. 9 § rättegångsbalken samt ”Hovrättens dagboksblad” NJA 2015 s. 180 p. 5–7.)

Målet i Högsta domstolen

6. Målet gäller frågan om det råder sekretess för de begärda uppgifterna och, i så fall, om uppgifterna bör lämnas ut med förbehåll. I målet aktualiseras förhållandet mellan 21 kap. 7 § offentlighets- och sekretesslagen, 1 kap. 7 § lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (i det följande dataskyddslagen) och reglerna i dataskyddsförordningen.

Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning).

s. 4 Sida 4 av 31 i domstolens handling

Om utlämnande av domar och andra domstolshandlingar

7. Var och en har till främjande av ett fritt meningsutbyte, en fri och allsidig upplysning och ett fritt konstnärligt skapande rätt att ta del av allmänna handlingar i den utsträckning som inte reglerna om sekretess hindrar detta (se 2 kap. 1 och 2 §§ tryckfrihetsförordningen).

8. Regler om sekretess finns i offentlighets- och sekretesslagen. Sekretess innebär att det är förbjudet att röja den uppgift som det gäller sekretess för, oavsett om det sker muntligen, genom utlämnande av en allmän handling eller på något annat sätt (se 3 kap. 1 § offentlighets- och sekretesslagen).

9. Utgångspunkten är att brottmålsdomar är offentliga. Om en uppgift tas in i en domstols dom upphör eventuell sekretess för uppgiften att gälla, om inte domstolen beslutar om fortsatt sekretess (jfr 43 kap. 8 § offentlighets- och sekretesslagen).

10. Brottmålsdomar har i linje med detta i regel lämnats ut till den som har begärt det, även när det har rört sig om en större mängd. Också andra handlingar med kopplingar till brottmål, t.ex. dagboksblad och protokoll, lämnas regelmässigt ut, såvida det inte finns någon särskild sekretessbestämmelse som är tillämplig på uppgifter i dem.

11. Som framgår av hovrättens beslut har dock frågan väckts i vilken utsträckning 21 kap. 7 § offentlighets- och sekretesslagen som hänvisar till dataskyddsförordningen – eller dataskyddsförordningen som sådan – kan utgöra hinder mot att lämna ut sådana handlingar.

s. 5 Sida 5 av 31 i domstolens handling

Bestämmelsen i 21 kap. 7 § offentlighets- och sekretesslagen

12. Enligt 21 kap. 7 § offentlighets- och sekretesslagen gäller sekretess för en personuppgift om det kan antas att uppgiften efter ett utlämnande kommer att behandlas i strid med dataskyddsförordningen eller dataskyddslagen.

13. Sekretessbestämmelsen i 21 kap. 7 § skiljer sig från andra sekretessbestämmelser såtillvida att den inte tar sikte på uppgifterna som sådana, utan på vad som kan antas ske med dem efter ett utlämnande. Enligt bestämmelsen ska den utlämnande myndigheten ta hänsyn till vad som kan antas om den kommande behandlingen och dess karaktär. En liknande bestämmelse har funnits sedan 1973. Bestämmelsen motiverades då bland annat med behovet av att skapa viss kontroll över möjligheterna att genom inhämtande av personuppgifter från befintliga register bygga upp nya register för andra ändamål än de ursprungliga (se prop. 1973:33 s. 100 f.).

14. En bedömning enligt paragrafen behöver göras endast om det finns konkreta omständigheter som indikerar att mottagaren kommer att behandla uppgifterna på ett sätt som strider mot dataskyddsregleringen, t.ex. att det är fråga om ett massuttag. Någon fullständig bedömning av om behandlingen kommer att strida mot dataskyddsförordningen eller dataskyddslagen behöver inte göras. (Jfr prop. 2017/18:105 s. 135 f.)

Dataskyddsförordningen

15. Dataskyddsförordningen är bindande och direkt tillämplig i alla EU:s medlemsstater (se artikel 288 andra stycket i fördraget om Europeiska unionens funktionssätt). Förordningen tillkom för att bland annat garantera en enhetlig och hög skyddsnivå för fysiska personer som är likvärdig i alla medlemsstater. Den ska ses i ljuset av att skyddet för fysiska personer vid

s. 6 Sida 6 av 31 i domstolens handling

behandling av personuppgifter är en grundläggande rättighet enligt Europeiska unionens stadga om de grundläggande rättigheterna. (Jfr dataskyddsförordningen, skäl 1 och 10; jfr även artikel 8 i stadgan och artikel 16 i fördraget om Europeiska unionens funktionssätt.)

16. I artikel 5 i dataskyddsförordningen anges att vissa grundläggande principer ska följas vid behandling av personuppgifter. Av dessa principer följer bland annat att uppgifterna ska behandlas på ett lagligt, korrekt och öppet sätt samt att de ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Vidare ska de inte förvaras i en form som möjliggör identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas och de får lagras under längre perioder endast för vissa ändamål.

17. De i artikel 5 angivna principerna kompletteras i artikel 6 med mer konkreta krav som måste vara uppfyllda för att behandlingen av uppgifterna ska vara laglig. Ett centralt krav är att någon av de grunder som anges i artikeln måste vara tillämplig för att en uppgift ska få behandlas. Exempel på sådana grunder är att det föreligger samtycke från den berörde eller att behandlingen är nödvändig för att fullgöra en rättslig förpliktelse.

18. I artikel 9 regleras behandling av vissa särskilda kategorier av personuppgifter. Det gäller bland annat uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning. Behandling av sådana uppgifter är förbjuden om inte den registrerade uttryckligen har lämnat sitt samtycke eller behandlingen är nödvändig av vissa angivna skäl.

s. 7 Sida 7 av 31 i domstolens handling

19. I artikel 10 finns regler som särskilt tar sikte på behandlingen av personuppgifter som rör fällande domar i brottmål, lagöverträdelser som utgör brott och därmed sammanhängande säkerhetsåtgärder. Behandling av sådana uppgifter får utföras endast under kontroll av myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Ett fullständigt register över fällande domar i brottmål får föras endast under kontroll av en myndighet. (Angående EU-domstolens tolkning av begreppen lagöverträdelser och fällande domar, se domstolens dom av den 24 september 2019, GC m.fl., C-136/17, EU:C:2019:773, p. 72.)

20. Syftet med artikel 10 är att säkerställa ett utökat skydd mot sådan behandling av personuppgifter som, på grund av att uppgifterna är särskilt känsliga, kan utgöra ett särskilt allvarligt ingrepp i den grundläggande rätten till respekt för privatlivet och skydd för personuppgifter enligt artiklarna 7 och 8 i EU:s rättighetsstadga (se EU-domstolens dom av den 22 juni 2021, Latvijas Republikas Saeima, C-439/19, EU:C:2021:504, p. 74).

21. Medlemsstaterna ska enligt artikel 85 i dataskyddsförordningen genom lag förena rätten till integritet enligt förordningen med yttrande- och informationsfriheten. De ska vidare – om det är nödvändigt för att förena rätten till integritet med yttrande- och informationsfriheten – fastställa undantag eller avvikelser från vissa uppräknade delar av förordningen (bland annat artikel 10) för viss behandling, exempelvis sådan som sker för journalistiska ändamål.

22. Av EU-domstolens praxis följer att uttrycket behandling för journalistiska ändamål ska tolkas brett. Det omfattar bland annat att sprida information, åsikter eller idéer till allmänheten. Vilken teknik som används

s. 8 Sida 8 av 31 i domstolens handling

eller om verksamheten bedrivs i vinstsyfte påverkar inte bedömningen. Även behandling av personuppgifter som innebär att material som har samlats in från myndigheter i oförändrad form tillhandahålls kommersiellt kan utgöra behandling för journalistiska ändamål. (Se EU-domstolens dom av den 16 december 2008, Satakunnan Markkinapörssi och Satamedia, C-73/07, EU:C:2008:727, p. 55–62.)

23. För att jämka samman allmänhetens rätt att få tillgång till allmänna handlingar med rätten till skydd av personuppgifter i enlighet med förordningen får bland annat myndigheter, i enlighet med den unionsrätt eller den medlemsstats rätt som gäller, lämna ut personuppgifter i allmänna handlingar (se artikel 86).

24. Det finns alltså ett utrymme enligt artiklarna 85 och 86 i förordningen att begränsa rätten till skydd för personuppgifter, men bara under förutsättning att begränsningarna är föreskrivna i lag, förenliga med det väsentliga innehållet i de grundläggande rättigheterna och uppfyller de krav som följer av den unionsrättsliga proportionalitetsprincipen. Det betyder bland annat att begränsningarna inte får gå utöver vad som är strikt nödvändigt, och det förutsätts också att det finns tydliga och precisa bestämmelser som reglerar räckvidden och tillämpningen av undantagen. (Jfr t.ex. Latvijas Republikas Saeima, p. 105 och 106 med vidare hänvisning.)

25. Det sagda innebär att det är förutsatt att skyddet för personuppgifter kan variera mellan medlemsstaterna. Men det är samtidigt inte givet att de sammanjämkningar av olika intressen som har gjorts är godtagbara enligt unionsrätten.

s. 9 Sida 9 av 31 i domstolens handling

Dataskyddslagen

26. I dataskyddslagen finns kompletterande bestämmelser till dataskyddsförordningen.

27. I 1 kap. 7 § första stycket föreskrivs att dataskyddsförordningen och dataskyddslagen inte ska tillämpas i den utsträckning det skulle strida mot tryckfrihetsförordningen eller yttrandefrihetsgrundlagen. Bestämmelsen omfattar inte bara sådan tillämpning av dataskyddsregleringen som skulle strida mot tryck- och yttrandefriheten, utan också sådan som skulle strida mot offentlighetsprincipen (jfr prop. 2017/18:105 s. 43).

28. I paragrafens andra stycke anges att artiklarna 5–30 och 35–50 i dataskyddsförordningen samt 2–5 kap. dataskyddslagen inte ska tillämpas vid behandling av personuppgifter som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande. I målet är det främst undantaget för journalistiska ändamål som är av intresse. Uttrycket behandling för journalistiska ändamål ska ges samma innebörd som enligt unionsrätten (se p. 22, jfr ”Stiftelsens webbplats” NJA 2001 s. 409).

Avgöranden från EU-domstolen

29. EU-domstolen har i ett par avgöranden behandlat frågor som har gällt utlämnande av personuppgifter från myndigheter i relation till bland annat artikel 10 i dataskyddsförordningen.

30. I rättsfallet Latvijas Republikas Saeima konstaterade domstolen att bestämmelserna i dataskyddsförordningen utgör hinder för en nationell lagstiftning som innebär att ett offentligt organ som ansvarar för ett register med information om prickning av förare vid överträdelser av trafikregler är skyldigt att göra uppgifterna tillgängliga för allmänheten, utan att den som

s. 10 Sida 10 av 31 i domstolens handling

begär att få tillgång till uppgifterna behöver visa att han eller hon har ett särskilt intresse av att erhålla dem. Dataskyddsförordningen ansågs också utgöra hinder mot att det offentliga organet överför sådana uppgifter till ekonomiska aktörer för vidareutnyttjande, så att den som önskar få upplysningar om eventuell prickning kan vända sig direkt till dessa aktörer och få ut uppgifterna. (Se Latvijas Republikas Saeima, p. 122 och 129.)

31. Vid prövningen av om de nationella reglerna kunde anses vara förenliga med dataskyddsförordningen gjordes en bedömning av huruvida dessa, som alltså innebar en begränsning av skyddet i dataskyddsförordningen, var nödvändiga och proportionerliga i förhållande till de eftersträvade målen med regleringen. Inom ramen för den bedömningen beaktade domstolen såväl rätten till informationsfrihet enligt artikel 85 som allmänhetens rätt att få tillgång till allmänna handlingar enligt artikel 86, men fann att rätten till skydd för detta slags personuppgifter måste anses väga tyngre. (Se Latvijas Republika Saeima, p. 102–121 och 126.)

32. I ett senare avgörande har EU-domstolen på motsvarande sätt konstaterat att dataskyddsförordningen utgör hinder mot att uppgifter om fällande domar i brottmål avseende fysiska personer i ett register som förs av domstol lämnas ut till vem som helst för att säkerställa allmänhetens tillgång till allmänna handlingar, utan att den person som begär utlämnandet behöver visa att personen har ett särskilt intresse av att få ut uppgifterna. (EU-domstolens dom av den 7 mars 2024, C-740/22, Endemol Shine Finland, EU:C:2024:216, p. 58.)

Den svenska ordningens förenlighet med unionsrätten

33. Högsta domstolen har att ta ställning till om, och i så fall på vilket sätt, prövningen av en begäran om att få ut allmänna handlingar som innehåller uppgifter om lagöverträdelser påverkas av dataskyddsförordningen.

s. 11 Sida 11 av 31 i domstolens handling

34. Som framgår av det föregående föreskrivs i 1 kap. 7 § första stycket dataskyddslagen att den lagen och dataskyddsförordningen inte ska tillämpas i den utsträckning det skulle strida mot tryckfrihetsförordningen eller yttrandefrihetsgrundlagen.

35. Lagstiftarens avsikt med bestämmelsen får sägas ha varit att dataskyddsförordningen och dataskyddslagen över huvud taget inte ska tillämpas på det grundlagsskyddade området. Det skulle innebära att man i en verksamhet som omfattas av tryckfrihetsförordningen eller yttrandefrihetsgrundlagen inte skulle behöva följa dataskyddsförordningen och att förordningen inte heller skulle inskränka myndigheternas skyldigheter att lämna ut personuppgifter. (Jfr prop. 2017/18:105 s. 40 ff., jfr även prop. 1997/98:44 s. 43 ff. angående den tidigare gällande regleringen.)

36. Med en sådan utgångspunkt är det följdriktigt att uppfatta 21 kap. 7 § offentlighets- och sekretesslagen på så sätt att sekretess enligt bestämmelsen inte kan föreligga i dessa fall; bestämmelsen förutsätter ju en bedömning av vad som kan antas om den kommande behandlingens förenlighet med dataskyddsregleringen.

37. Motsvarande gäller avseende fall där undantaget i 1 kap. 7 § andra stycket dataskyddslagen är tillämpligt, t.ex. vid behandling av personuppgifter för journalistiska ändamål utanför det grundlagsskyddade området. I stycket föreskrivs att vid sådan behandling ska flera av dataskyddsförordningens centrala bestämmelser, bland annat artiklarna 5–10, inte tillämpas.

38. Vid en tillämpning av den nationella regleringen måste emellertid unionsrättens krav beaktas. Medlemsstaterna ska enligt artiklarna 85 och 86 i dataskyddsförordningen visserligen göra en avvägning mellan intresset

s. 12 Sida 12 av 31 i domstolens handling

av yttrande- och informationsfrihet och allmänhetens rätt att få tillgång till allmänna handlingar å den ena sidan och rätten till skydd för personuppgifter å den andra. Men det kan ifrågasättas om en reglering som innebär att personuppgifter om lagöverträdelser i stor omfattning ska lämnas ut samtidigt som dataskyddsregleringen inte alls – eller endast till viss del – gäller för den efterföljande behandlingen av uppgifterna, går att förena med unionsrättens krav.

39. Brottmålsdomar innehåller många olika uppgifter av känslig natur. De innehåller inte bara personuppgifter om tilltalade och dömda, brott som ett avgörande avser och den eventuella påföljd som dömts ut. Där finns också ett stort antal andra personuppgifter, bland annat om målsägande och vittnen och om omständigheter kring de åtalade händelserna som kan knytas till olika personer.

40. Om 1 kap. 7 § första stycket dataskyddslagen uppfattas på det sätt som lagstiftaren får sägas ha avsett innebär regleringen att skyddet för dessa personuppgifter – på det grundlagsskyddade området – uteslutande kommer att bygga på de möjligheter till ingripande som ges enligt tryckfrihetsförordningen och yttrandefrihetsgrundlagen och som i grunden har andra syften än att skapa ett personuppgiftsskydd. Om bestämmelsen uppfattas på detta sätt finns det inte heller några regler om hur personuppgifterna får behandlas eller några förutsättningar att utöva tillsyn såvitt avser uppgifter om lagöverträdelser.

41. Också i de fall som avses i 1 kap. 7 § andra stycket innebär en sådan ordning (se p. 35–37) att skyddet för personuppgifter i mycket stor utsträckning får stå tillbaka för intresset av yttrande- och informationsfrihet.

s. 13 Sida 13 av 31 i domstolens handling

42. Högsta domstolen gör sammantaget bedömningen att det inte kan anses förenligt med unionsrätten att ha en ordning som innebär att brottmålsdomar i stor omfattning lämnas ut med följd att en betydande mängd personuppgifter rörande lagöverträdelser därefter kan behandlas i en databas och göras tillgängliga för andra. I princip finns då inte något annat skydd för integritetsintresset än det som kan ligga i ingripanden med stöd av mediegrundlagarna och brottsbalken. En sådan ordning undergräver närmast helt det skydd vid behandling av uppgifter om lagöverträdelser som dataskyddsförordningen syftar till att ge och kan inte anses innebära att det har fastställts lämpliga skyddsåtgärder för de registrerades rättigheter och friheter på det sätt som förutsätts enligt artikel 10 i dataskyddsförordningen. Bedömningen att detta inte är godtagbart gäller även i förhållande till behandling som sker för journalistiska ändamål eller andra ändamål som avses i artikel 85.

43. Det är alltså inte möjligt att förena den svenska regleringen med dataskyddsförordningen på det sätt som lagstiftaren får antas ha avsett.

Konsekvenserna för den prövning som ska göras enligt 21 kap. 7 § offentlighets- och sekretesslagen

Utgångspunkter

44. Det är inte möjligt för Högsta domstolen att i ett enskilt avgörande mer generellt lösa de frågor som är förknippade med den svenska regleringen av dataskyddsförordningens tillämplighet. Domstolens uppgift är att ta ställning till hur frågorna i målet ska bedömas och då särskilt hur 21 kap. 7 § offentlighets- och sekretesslagen ska tillämpas.

45. Det kan erinras om att de allmänna frågeställningarna rörande avsaknaden av skydd för integritetsintresset vid behandling av

personuppgifter på det grundlagsskyddade området är långt ifrån nya.

s. 14 Sida 14 av 31 i domstolens handling

Redan i samband med införandet av systemet med frivilliga utgivningsbevis i yttrandefrihetsgrundlagen hade konstitutionsutskottet farhågor om att grundlagsskyddet skulle kunna komma att omfatta databaser som utgör rena personregister och att detta kunde komma i konflikt med bestämmelser som har till syfte att skydda den personliga integriteten (jfr bet. 2001/02:KU21 s. 31 f.).

46. Det finns även skäl att här nämna att två förslag har lagts fram till riksdagen som syftat till att bättre balansera yttrandefrihets- och informationsfrihetsintressena med skyddet för personuppgifter avseende lagöverträdelser (se prop. 2017/18:49 och prop. 2021/22:59). Dessa har dock inte lett till lagstiftning. Till detta kommer att det återigen har lagts fram förslag rörande bland annat denna frågeställning (se SOU 2024:75). I sammanhanget kan även nämnas Integritetsskyddsmyndighetens rättsliga ställningstagande 2024:1 som emellertid är begränsat till söktjänster med utgivningsbevis.

47. Mot bakgrund av det som nu har sagts inställer sig frågan om det är möjligt att tolka och tillämpa det svenska regelverket på ett sätt som kan förenas med dataskyddsförordningen.

Bestämmelsen i 1 kap. 7 § första stycket dataskyddslagen

48. Som framgått av det föregående får lagstiftarens avsikt sägas ha varit att dataskyddsförordningen och dataskyddslagen inte alls ska tillämpas på det grundlagsskyddade området. Det kan emellertid konstateras att detta inte kommer till uttryck i lagtexten. I 1 kap. 7 § första stycket dataskyddslagen anges att dataskyddsförordningen inte ska tillämpas ”i den utsträckning det skulle strida mot tryckfrihetsförordningen eller yttrandefrihetsgrundlagen”. Bestämmelsens utformning talar alltså närmast för att dataskyddsförordningen får vika först när det råder en konflikt

mellan regelverken.

s. 15 Sida 15 av 31 i domstolens handling

49. Det bör framhållas att det förhållandet att det gäller sekretess för vissa uppgifter som utgångspunkt inte kan anses innebära att det föreligger en konflikt med tryckfrihetsförordningen eller yttrandefrihetsgrundlagen. Tvärtom är det i tryckfrihetsförordningen förutsatt att riksdagen ska kunna lagstifta om sekretess och att sekretess då gäller också i förhållande till verksamheter som omfattas av tryckfrihetsförordningen eller yttrandefrihetsgrundlagen.

50. Det finns också skäl att notera att 1 kap. 7 § dataskyddslagen och 21 kap. 7 § offentlighets- och sekretesslagen, såvitt nu är aktuellt, fick sin utformning i samma lagstiftningssammanhang. Den naturliga utgångspunkten bör vara att den ena bestämmelsen inte utesluter tillämpning av den andra. Till bilden hör också att det inte finns några uttalanden i förarbetena till 21 kap. 7 § som berör frågan om sekretessen bör gälla i förhållande till verksamheter som omfattas av grundlagsskydd enligt tryckfrihetsförordningen eller yttrandefrihetsgrundlagen.

51. Högsta domstolen gör mot denna bakgrund bedömningen att det finns utrymme att tolka 1 kap. 7 § första stycket dataskyddslagen så att bestämmelsen inte hindrar att dataskyddsförordningens krav beaktas vid tillämpningen av den särskilda sekretessbestämmelsen i 21 kap. 7 § offentlighets- och sekretesslagen även på det grundlagsskyddade området. Och en sådan tolkning bör göras oavsett hur man ska se på innebörden av 1 kap. 7 § första stycket när det gäller frågan om förordningen kan tillämpas på den följande behandlingen i den verksamhet som omfattas av grundlagsskyddet.

52. Det betyder att den myndighet som har att göra en prövning enligt 21 kap. 7 § offentlighets- och sekretesslagen ska bedöma om uppgifterna efter ett utlämnande kan antas komma att behandlas i strid med

s. 16 Sida 16 av 31 i domstolens handling

bestämmelserna i dataskyddsförordningen, utan att ta ställning till i vilken mån den svenska regleringen innebär att förordningen inte ska tillämpas i den verksamhet som bedrivs av den som har begärt att få ut uppgifterna. Dataskyddsförordningen kan vid tillämpningen av 21 kap. 7 § då närmast ses som en fristående måttstock för när sekretess råder för uppgifter som annars skulle ha varit offentliga.

53. På detta sätt kan ett hänsynstagande till kraven i förordningen ske när det avgörs huruvida allmänna handlingar som innehåller personuppgifter ska lämnas ut.

Bestämmelsen i 1 kap. 7 § andra stycket dataskyddslagen

54. I 1 kap. 7 § andra stycket anges att undantag från dataskydds- förordningens tillämpning ska göras i princip i samtliga de delar där förordningen öppnar för undantag. Närmare bestämt undantas, som framgått, artiklarna 5–30 och 35–50 i dataskyddsförordningen. Lagstiftaren har här mer tydligt använt den ordning för nationell anpassning som dataskyddsförordningen anvisar i artikel 85.

55. Av förarbetena framgår att det huvudsakliga syftet med undantaget i andra stycket har varit att se till att bland annat journalistisk verksamhet som inte omfattas av tryckfrihetsförordningen och yttrandefrihets- grundlagen undantas från delar av dataskyddsförordningen och dataskyddslagen. En utgångspunkt vid utformningen av bestämmelsen har varit att undantag bör införas i den utsträckning som förordningen tillåter det (se prop. 2017/18:105 s. 44 f. och 187). Det kan noteras att bestämmelsen – även om den syftar till att träffa sådan verksamhet som inte omfattas av tryckfrihetsförordningen eller yttrandefrihetsgrundlagen – enligt sin ordalydelse täcker också verksamhet som har grundlagsskydd.

s. 17 Sida 17 av 31 i domstolens handling

56. Ordalydelsen i andra stycket ger inte samma öppning för en tolkning i enlighet med unionsrätten som första stycket. De båda styckena måste dock ses i ett sammanhang. Andra stycket kan inte rimligen ges den innebörden att undantaget från dataskyddsförordningens tillämpning för icke-grundlagsskyddad verksamhet blir mer långtgående än det undantag som avser det grundlagsskyddade området.

57. Andra stycket bör alltså, på motsvarande sätt som första stycket, tillämpas så att det inte hindrar att dataskyddsförordningen fullt ut beaktas vid en prövning enligt 21 kap. 7 § offentlighets- och sekretesslagen. Den myndighet som har att göra prövningen ska således bedöma om uppgifterna efter ett utlämnande kan antas komma att behandlas i strid med bestämmelserna i dataskyddsförordningen, utan att ta ställning till om de undantagna artiklarna i förordningen ska tillämpas i den verksamhet som bedrivs av den som har begärt att få ut uppgifterna.

Sammanfattande slutsats

58. Sammantaget innebär det sagda att 1 kap. 7 § dataskyddslagen – bedömd i ljuset av unionsrätten – inte hindrar att dataskyddsförordningen beaktas vid tillämpningen av sekretessbestämmelsen i 21 kap. 7 § offentlighets- och sekretesslagen.

Bedömningen i detta fall

Gäller sekretess enligt 21 kap. 7 § offentlighets- och sekretesslagen?

59. För att sekretess enligt 21 kap. 7 § offentlighets- och sekretesslagen ska gälla för de uppgifter som Nyhetsbyrån Siren har begärt att få ut krävs att det kan antas att uppgifterna efter ett utlämnande kommer att behandlas

s. 18 Sida 18 av 31 i domstolens handling

på ett sätt som är oförenligt med dataskyddsförordningen. Antagandet måste bygga på att det finns konkreta omständigheter som indikerar detta, men någon fullständig bedömning av om den behandling som kan antas komma att ske är oförenlig med dataskyddsförordningen behöver inte göras (se p. 14). Något ställningstagande till i vilken mån förordningen ska tillämpas i Sirens verksamhet ska inte göras, utan förordningen ska användas som en fristående måttstock vid bedömningen (se p. 52 och 57).

60. Siren har begärt att få ut ett större antal brottmålsdomar och andra handlingar kopplade till brottmål såsom beslut, dagboksblad och stämnings- ansökningar. Handlingarna innehåller uppgifter om lagöverträdelser och andra uppgifter av känslig natur. Siren har hos hovrätten återkommande begärt ut allmänna handlingar på motsvarande sätt. Mot denna bakgrund, och med beaktande av den omfattande behandling av personuppgifter av detta slag som sker hos Siren, kan det antas att de personuppgifter som finns i de begärda handlingarna kommer att behandlas på ett sätt som är oförenligt med artikel 10 i dataskyddsförordningen (jfr p. 42). Sekretess gäller följaktligen för de personuppgifter som finns i de handlingar som har begärts ut.

Finns det förutsättningar att lämna ut handlingarna med förbehåll?

61. Om en myndighet finner att sådan risk för skada, men eller annan olägenhet som enligt en bestämmelse om sekretess hindrar att en uppgift lämnas till en enskild kan undanröjas genom ett förbehåll som inskränker den enskildes rätt att lämna uppgiften vidare eller utnyttja den, ska myndigheten göra ett sådant förbehåll när uppgiften lämnas till den enskilde (10 kap. 14 § första stycket offentlighets- och sekretesslagen).

62. Det framstår som klart att bestämmelsen är skriven med tanke på sådana sekretessbestämmelser vilkas tillämpning förutsätter ett beaktande av skada, men eller annan olägenhet. Någon hänvisning till sådana faktorer

s. 19 Sida 19 av 31 i domstolens handling

finns inte i 21 kap. 7 § offentlighets- och sekretesslagen, men det finns heller inte något undantag i 10 kap. 14 § som innebär att den inte kan tillämpas vid sekretess enligt 21 kap. 7 §. Sistnämnda bestämmelse syftar vidare, i likhet med flera andra sekretessregler, till att skydda uppgifter om enskildas personliga förhållanden. Ett utlämnande av uppgifter som är oförenligt med dataskyddsförordningen får därmed anses kunna medföra skada, men eller annan olägenhet. Även om resultatet av ett förbehåll inte fullt ut blir detsamma som i andra fall bör bestämmelsen i 10 kap. 14 § första stycket därför kunna tillämpas också när sekretess gäller enligt 21 kap. 7 §.

63. Att med stöd av 10 kap. 14 § ställa upp ett förbehåll vid utlämnande av handlingar kan vara ett sätt att i viss mån åstadkomma en sådan avvägning mellan olika intressen som dataskyddsförordningen förutsätter. Det gäller särskilt när intresset av yttrande- och informationsfrihet ska förenas med rätten till integritet.

64. Med hänsyn till den verksamhet som Siren bedriver kan det antas att behandlingen av uppgifterna i de begärda handlingarna till betydande del kommer att ske för journalistiska ändamål. Handlingarna bör därför, som hovrätten har funnit, lämnas ut men med förbehåll som gör att intresset av att kunna bedriva den journalistiska verksamheten balanseras mot integritetsintresset. Det finns skäl att vid utformningen av förbehållet beakta att Siren via sin databas tillgängliggör bland annat redaktionellt bearbetad nyhetstext.

65. En rimlig balans mellan de olika intressena kan uppnås om förbehållet utformas så att det tar sikte på att förhindra att handlingarna – med de personuppgifter som finns i dem – tillhandahålls av Siren eller att uppgifterna görs sökbara för andra, men inte förhindrar att person-

s. 20 Sida 20 av 31 i domstolens handling

uppgifterna används i t.ex. nyhetstexter eller nyhetsunderlag som Siren producerar.

66. Det finns mot den bakgrunden anledning att ändra hovrättens beslut på så sätt att förbehållet ges innebörden:

– att handlingarna, oavsett i vilken form, inte får tillhandahållas allmänheten eller betalande kunder om allmänheten eller kunderna därigenom får del av personnamn, personnummer eller adress för enskilda personer, och

– att Siren inte heller på annat sätt får erbjuda allmänheten eller betalande kunder sökmöjligheter i handlingarna på ett sätt som ger tillgång till personnamn, personnummer eller adress för enskilda personer.

I avgörandet har deltagit justitieråden Anders Eka, Henrik Jermsten (skiljaktig), Kristina Ståhl, Agneta Bäcklund (skiljaktig), Thomas Bull (skiljaktig), Petter Asp (referent) och Cecilia Renfors. Föredragande har varit justitiesekreteraren Malin Falkmer.

s. 21 Sida 21 av 31 i domstolens handling

SKILJAKTIG MENING

Justitieråden Henrik Jermsten och Thomas Bull är skiljaktiga och anser att överklagandet ska bifallas. Enligt deras mening bör skälen lyda enligt följande.

SKÄL

Bakgrund

1. Panoptes Sweden AB:s verksamhet innefattar inhämtning, bearbetning, analys och presentation av information. Bolaget driver Nyhetsbyrån Siren.

2. Siren är inriktad på myndighetsbevakning och kärnverksamheten består i att identifiera och samla in underlag för nyheter och att förmedla sådant underlag till andra nyhetsorganisationer eller massmedier, såsom tidningar, tidskrifter och etermediaföretag. Eftersom Siren är en nyhetsbyrå omfattas information ur Sirens databas av grundlagsskydd enligt 1 kap. 4 § yttrandefrihetsgrundlagen.

3. Siren har hos hovrätten begärt att få del av ett större antal allmänna handlingar i brottmål, såsom domar, beslut, dagboksblad och stämningsansökningar.

4. Hovrätten har beslutat att lämna ut de begärda handlingarna men med ett förbehåll. Förbehållet innebär att de personuppgifter som framgår av handlingarna endast får användas i journalistisk verksamhet och att personnummer, personnamn och adress för enskilda personer inte får tillhandahållas allmänheten eller betalande kunder genom databasen/registren.

s. 22 Sida 22 av 31 i domstolens handling

5. Som skäl för beslutet anförde hovrätten att det kan antas att uppgifterna efter ett utlämnande kommer att behandlas i strid med EU:s dataskyddsförordning. Enligt hovrätten gällde därför sekretess för uppgifterna enligt 21 kap. 7 § offentlighets- och sekretesslagen (2009:400) och förbehåll utgjorde en lämplig skyddsåtgärd.

Om utlämnande av domar m.m.

¶6. Var och en har till främjande av ett fritt meningsutbyte, en fri och allsidig upplysning och ett fritt konstnärligt skapande rätt att ta del av allmänna handlingar i den utsträckning som inte reglerna om sekretess hindrar detta (2 kap. 1 och 2 §§ tryckfrihetsförordningen).

¶7. Enligt 21 kap. 7 § offentlighets- och sekretesslagen gäller sekretess för en personuppgift om det kan antas att uppgiften efter ett utlämnande kommer att behandlas i strid med EU:s dataskyddsförordning eller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen).

¶8. Den aktuella sekretessbestämmelsen skiljer sig från andra sekretess- bestämmelser såtillvida att den inte tar sikte på uppgifterna som sådana, utan på vad som kan antas ske med dem efter ett utlämnande. En bedömning enligt paragrafen behöver göras endast om det finns konkreta omständigheter som indikerar att mottagaren kommer att behandla uppgifterna på ett sätt som strider mot dataskyddsregleringen, t.ex. att det är fråga om ett massuttag. Någon fullständig bedömning av om behandlingen kommer att strida mot dataskyddsförordningen eller dataskyddslagen behöver inte göras. (Jfr prop. 2017/18:105 s. 135 f.)

¶9. Dataskyddsförordningen uppställer i artiklarna 5 och 6 vissa grundläggande krav på behandlingen av personuppgifter, bland annat att de

ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och

s. 23 Sida 23 av 31 i domstolens handling

inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Uppgifterna ska vidare behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade samt vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Ett centralt krav är vidare att någon av de grunder som anges i artikel 6 måste vara tillämplig för att en uppgift ska få behandlas. Exempel på sådana grunder är att det föreligger samtycke från den registrerade eller att behandlingen är nödvändig för att fullgöra en rättslig förpliktelse.

¶10. I artikel 9 regleras behandling av vissa särskilda kategorier av personuppgifter. Det gäller bland annat uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning. Behandling av sådana uppgifter är förbjuden om inte den registrerade uttryckligen har lämnat sitt samtycke eller behandlingen är nödvändig av vissa angivna skäl.

¶11. I artikel 10 finns regler som särskilt tar sikte på behandlingen av personuppgifter som rör fällande domar i brottmål, lagöverträdelser som utgör brott och därmed sammanhängande säkerhetsåtgärder. Behandling av sådana uppgifter får utföras endast under kontroll av en myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Ett fullständigt register över fällande domar i brottmål får föras endast under kontroll av en myndighet.

¶12. Medlemsstaterna ska enligt artikel 85 i förordningen genom lag förena rätten till integritet enligt dataskyddsförordningen med yttrande- och informationsfriheten, inbegripet behandling som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande. De ska vidare för behandling som sker för sådana ändamål – om det är nödvändigt

s. 24 Sida 24 av 31 i domstolens handling

för att förena rätten till integritet med yttrande- och informationsfriheten – fastställa undantag eller avvikelser från vissa uppräknade delar av förordningen, däribland artiklarna 5, 6, 9 och 10.

¶13. I 1 kap. 7 § första stycket dataskyddslagen anges att dataskydds- förordningen och dataskyddslagen inte ska tillämpas i den utsträckning det skulle strida mot tryckfrihetsförordningen eller yttrandefrihetsgrundlagen. Av andra stycket samma paragraf följer att bland annat artiklarna 5, 6, 9 och 10 i dataskyddsförordningen inte ska tillämpas vid behandling av personuppgifter som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande.

Den svenska sammanjämkningen enligt artikel 85

¶14. Inledningsvis kan konstateras att en EU-förordning till alla delar är bindande och direkt tillämplig i varje medlemsstat. Enligt fast praxis gäller att bestämmelser i förordningar i allmänhet har omedelbara verkningar i de nationella rättsordningarna, utan att det krävs att de nationella myndigheterna vidtar några tillämpningsåtgärder (EU-domstolens dom av den 15 maj 2021, Facebook Ireland m.fl., C-645/19, EU:C:2021:483, p. 110 och där angiven rättspraxis).

¶15. När det gäller vissa artiklar i dataskyddsförordningen utgör dessa emellertid inte en komplett reglering utan förordningen förutsätter en kompletterande reglering i nationell rätt. Så är exempelvis fallet beträffande förordningens krav på en nationell sammanjämkning av förordningens regler om skydd för personuppgifter med yttrande- och informationsfriheten.

¶16. Hur yttrandefrihet, informationsfrihet och skyddet för person- uppgifter ska förenas och sammanjämkas framgår således inte av dataskyddsförordningen. Det finns dessutom ett utrymme för olikheter

s. 25 Sida 25 av 31 i domstolens handling

mellan medlemsstaterna i fråga om innehållet i bestämmelser som sammanjämkar rätten till skydd för personuppgifter med yttrande- och informationsfrihet (EU-domstolens dom av den 24 september 2019, Google, C-507/17, EU:C:2019:772, p. 69).

¶17. Att man i flera medlemsstater gjort omfattande undantag från dataskyddsförordningens bestämmelser för journalistisk verksamhet står klart (se SOU 2024:75 s. 120 ff. avseende Norge, Danmark och Finland). Även i länder som Nederländerna och Österrike har man, på ett sätt som liknar den svenska regleringen i sak, undantagit verksamheter som är journalistiska från förordningens tillämpningsområde.

¶18. Till bilden hör vidare att det vid sammanjämkningen enligt artikel 85 måste beaktas att rättigheterna i Europeiska unionens stadga om de grundläggande rättigheterna har en likvärdig ställning. Skyddet av personuppgifter regleras i artikel 8 och yttrande- och informationsfrihet skyddas genom artikel 11. Från unionsrättslig synvinkel har således ingen av rättigheterna en starkare ställning än den andra, utan vid konflikter måste de balanseras mot varandra.

¶19. Enligt svensk rätt ska alltså dataskyddsförordningen inte tillämpas i den utsträckning det skulle strida mot tryckfrihetsförordningen eller yttrandefrihetsgrundlagen (prop. 2017/18:105 s. 40 ff.). Vidare ska bland annat artiklarna 5, 6, 9 och 10 i dataskyddsförordningen även utanför det grundlagsskyddade området inte tillämpas vid behandling av personuppgifter som sker för journalistiska ändamål.

¶20. Utifrån artikel 85 i dataskyddsförordningen kan detta ställningstagande sägas innebära att den svenska lagstiftaren har bedömt att det är nödvändigt ur ett yttrandefrihetsperspektiv att helt undanta sådana aktörer som omfattas

s. 26 Sida 26 av 31 i domstolens handling

av grundlagsskydd från förordningens bestämmelser och att detsamma i allt väsentligt ska gälla för sådana aktörer som saknar grundlagsskydd men vars verksamhet har journalistiska ändamål. Den praktiska effekten av detta är att personuppgiftsbehandlingen i allt väsentligt är oreglerad.

¶21. Mot bakgrund av EU-domstolens avgöranden av den 22 juni 2021 i målet Latvijas Republika Saeima (C-439/19, EU:C:2021:504) och av den 7 mars 2024 i målet Endemol Shine Finland (C-740/22, EU:C:2024:216) kan emellertid den frågan ställas om den svenska regleringen utgör en sammanvägning av yttrandefrihet, informationsfrihet och skyddet för personuppgifter som är fullt ut förenlig med unionsrätten.

¶22. Enligt Högsta domstolens mening finns det inledningsvis anledning att notera följande beträffande EU-domstolens avgöranden. Det förstnämnda rättsfallet rörde sammanjämkningen enligt artikel 86 i dataskydds- förordningen mellan rätten till allmänna handlingar och rätten till skydd för personuppgifter och berörde endast artikel 85 i den del denna behandlar rätten till informationsfrihet. Någon yttrandefrihetsaspekt fanns inte i målet och de krav som artikel 85 ställer på en nationell sammanjämkning utifrån det intresset berördes inte. Avgörandet har därför ingen direkt betydelse för den nu aktuella situationen.

¶23. I det andra avgörandet fann EU-domstolen att respekten för privatlivet och skyddet för personuppgifter måste anses väga tyngre än allmänhetens intresse av att få tillgång till allmänna handlingar. Vidare framhölls att rätten till informationsfrihet enligt artikel 85 i dataskydds- förordningen inte ska tolkas så, att den motiverar att personuppgifter avseende fällande domar i brottmål lämnas ut till var och en som begär ut sådana uppgifter (p. 55 och 56).

s. 27 Sida 27 av 31 i domstolens handling

¶24. EU-domstolens resonemang tog alltså sikte på intresseavvägningen mellan skyddet av personuppgifter om lagöverträdelser och allmänhetens tillgång till allmänna handlingar och informationsfriheten i allmänhet. Någon direkt bäring på situationer när en aktör begär ut uppgifter av det slaget för journalistiska ändamål har avgörandet således inte.

¶25. Den slutsats som kan dras av EU-domstolens avgöranden är att vid sammanjämkningen mellan informationsfriheten och skyddet för personuppgifter ska proportionalitetsprincipen iakttas och de nationella regler som införs får inte gå utöver vad som är nödvändigt. Vad detta konkret betyder i en kontext där andra intressen står mot varandra än de som var aktuella i de båda rättsfallen är däremot inte givet.

¶26. En annan iakttagelse som kan göras utifrån de båda rättsfallen är att EU-domstolens bedömning av om sammanjämkningen enligt artikel 85 och 86 i dataskyddsförordningen är godtagbar, har skett utifrån de konkreta omständigheterna i det enskilda fallet. Även om hänsyn måste kunna tas till ett nationellt systems utformning på abstrakt nivå är det alltså effekterna i det konkreta fallet som är avgörande för prövningen av om t.ex. kravet på proportionalitet är uppfyllt eller inte.

Bedömningen i detta fall

¶27. I det nu aktuella fallet är fråga om en begäran om utfående av allmänna handlingar av en aktör som har s.k. automatiskt grundlagsskydd, dvs. grundlagsskyddet följer direkt av grundlagen (1 kap. 4 § yttrandefrihetsgrundlagen).

¶28. Från grundlagssynpunkt innebär detta att utgångspunkten är att Siren är en aktör vars verksamhet får antas ligga i linje med syftet med yttrandefrihetsgrundlagen, dvs. att säkra ett fritt meningsutbyte, en fri och

s. 28 Sida 28 av 31 i domstolens handling

allsidig upplysning och ett fritt konstnärligt skapande. Detta är alla ändamål som nära nog helt sammanfaller med de områden där undantag från dataskyddsförordningens bestämmelser medges enligt artikel 85.

¶29. Vad som är upplyst om Sirens verksamhet är följande. Siren är medlem i föreningen Tidningsutgivarna. Siren identifierar och samlar in underlag för nyheter för att förmedla sådant underlag till andra nyhetsorganisationer eller massmedier. Siren tar hand om, bedömer och utarbetar underlag med utgångspunkt i de handlingar som domstolar, myndigheter och andra har lämnat ut. Denna behandling är på olika sätt avsedd för publicering. Det är redaktionens medarbetare som analyserar materialet och gör självständiga nyhetsvärderingar. Därefter kan det bearbetade materialet användas för publicering i andra massmedier eller i Sirens egen databas.

¶30. Det får anses stå klart att Sirens insamlande av personuppgifter sker för journalistiska ändamål. Även om det alltså kan ifrågasättas om den svenska regleringen utgör en sammanvägning av yttrandefrihet, informationsfrihet och skyddet för personuppgifter som i alla delar lever upp till unionsrättens krav, finns det inget som tyder på att det beträffande en aktör som Siren inte skulle vara godtagbart göra sammanjämkningen mellan olika intressen enligt artikel 85 i dataskyddsförordningen på det sätt som den svenska lagstiftaren har gjort.

¶31. Det kan därför inte anses stå i strid med unionsrätten att såvitt avser Sirens begäran om utfående av allmänna handlingar låta grundlagsskyddet gälla på det sätt som den svenska lagstiftaren har avsett.

¶32. Som hovrätten har konstaterat är de efterfrågade handlingarna allmänna och de ska lämnas ut om inte sekretess gäller enligt 21 kap. 7 § offentlighets- och sekretesslagen. Enligt den paragrafen gäller sekretess för

s. 29 Sida 29 av 31 i domstolens handling

personuppgifter om det kan antas att uppgifterna efter ett utlämnande kommer att behandlas i strid med dataskyddsförordningen.

¶33. Det kan emellertid inte antas att Siren kommer att behandla de personuppgifter som finns i de handlingar som Siren har begärt ut i strid med dataskyddsförordningen eftersom Sirens behandling av personuppgifter inte omfattas av förordningens bestämmelser.

¶34. Sekretess enligt 21 kap. 7 § offentlighets- och sekretesslagen gäller därmed inte. Överklagandet ska därför bifallas.

s. 30 Sida 30 av 31 i domstolens handling

SKILJAKTIG MENING

Justitierådet Agneta Bäcklund är skiljaktig och anser att målet ska skrivas av från vidare handläggning. Hon anser att skälen från och med punkten 61 ska ha följande lydelse.

61. Om en myndighet finner att sådan risk för skada, men eller annan olägenhet som enligt en bestämmelse om sekretess hindrar att en uppgift lämnas till en enskild kan undanröjas genom ett förbehåll som inskränker den enskildes rätt att lämna uppgiften vidare eller utnyttja den, ska myndigheten göra ett sådant förbehåll när uppgiften lämnas till den enskilde (10 kap. 14 § första stycket offentlighets- och sekretesslagen).

62. Det framstår som klart att bestämmelsen är skriven med tanke på sådana sekretessbestämmelser vars tillämpning förutsätter ett beaktande av skada, men eller annan olägenhet. Någon hänvisning till sådana faktorer finns inte i 21 kap. 7 § offentlighets- och sekretesslagen.

63. Det är svårt att se att ett förbehåll fullt ut skulle tillgodose möjligheten till avvägning mellan integritetsintresset och intresset av att bedriva journalistisk verksamhet när det är fråga om behandling av en stor mängd uppgifter som avser lagöverträdelser. Den risk som bestämmelsen i 21 kap. 7 § avser att förhindra – att uppgiften efter ett utlämnande kommer att behandlas i strid med dataskyddsförordningen – kan alltså inte undanröjas genom ett förbehåll.

64. Med den tolkning av förhållandet mellan 1 kap. 7 § dataskyddslagen och 21 kap. 7 § som Högsta domstolen gör är det dessutom knappast möjligt att ge några föreskrifter om behandlingen av de uppgifter om lagöverträdelser som lämnats ut, utan att ta ställning till om artikel 10 i

s. 31 Sida 31 av 31 i domstolens handling

dataskyddsförordningen gäller för den behandlingen. Ett förbehåll som innebär att det inte är tillåtet att lämna ut vissa uppgifter framstår inte heller som lämpligt med hänsyn till rätten att fritt meddela uppgifter i vilket ämne som helst.

65. Slutsatsen är därför att det inte finns förutsättningar att lämna ut handlingarna med förbehåll. Ett utlämnande med förbehåll framstår inte heller som en lämplig åtgärd.

66. Eftersom de handlingar som talan avser har lämnats ut till Siren med förbehåll bör överklagandet inte föranleda någon ytterligare åtgärd utan målet bör avskrivas från vidare handläggning.

s. 1 Sida 1 av 31 i domstolens handling

• HÖGSTA DOMSTOLENS BESLUT · meddelat i Stockholm den 25 februari 2025
• Mål nr · Ä 3169-24

PARTER

Klagande Trobar AB, 559036-0748 c/o TNG Group AB, CO

Ombud: Advokaterna FS, AB och ÄP samt juristen AF

SAKEN Utlämnande av allmänna handlingar

ÖVERKLAGAT AVGÖRANDE Hovrätten för Övre Norrlands beslut 2024-03-27, dnr 2024/83

HÖGSTA DOMSTOLENS AVGÖRANDE

Hovrättens beslut ändras på så sätt att de begärda handlingarna ska lämnas ut av Umeå tingsrätt med ett förbehåll som innebär:

s. 2 Sida 2 av 31 i domstolens handling

– att handlingarna, oavsett i vilken form, inte får tillhandahållas allmänheten eller betalande kunder om allmänheten eller kunderna därigenom får del av personnamn, personnummer eller adress för enskilda personer,

– att Trobar inte heller på annat sätt får erbjuda allmänheten eller betalande kunder sökmöjligheter i handlingarna på ett sätt som ger tillgång till personnamn, personnummer eller adress för enskilda personer, och

– att handlingarna inte heller får användas för att avisera allmänheten eller betalande kunder på så sätt att möjlighet ges att bevaka om en viss person förekommer i handlingarna.

YRKANDEN I HÖGSTA DOMSTOLEN

Trobar AB har yrkat att Högsta domstolen ska förordna att tingsrätten ska lämna ut de begärda handlingarna.

SKÄL

Bakgrund

1. Trobar AB tillhandahåller via en rättsdatabas information som inhämtas från landets domstolar samt från Åklagarmyndigheten och Ekobrottsmyndigheten. Informationen i databasen består av domar, beslut, protokoll, dagboksblad och beslut om strafförelägganden och åtalsunderlåtelser.

2. Trobars databas riktar sig till företag och organisationer som önskar få tillgång till information av detta slag för sin verksamhet, t.ex. för bakgrundskontroller men även för journalistik eller forskning. Det finns bland annat en tjänst som innebär att en kund aviseras när ett visst person-

s. 3 Sida 3 av 31 i domstolens handling

eller organisationsnummer förekommer i en handling. Databasen riktar sig inte till privatpersoner och det sker en prövning innan någon tillåts att bli kund hos bolaget. Trobars rättsdatabas omfattas av utgivningsbevis och därmed av grundlagsskydd enligt 1 kap. 4 och 5 §§ yttrandefrihetsgrundlagen.

3. Trobar har av Umeå tingsrätt begärt att få ut domar, beslut, protokoll och dagboksblad i brottmål vid tingsrätten.

4. Tingsrätten beslutade att avslå Trobars begäran med hänvisning till att Trobar begärt ut uppgifter i en sådan omfattning och med sådant innehåll att det kan antas att Trobars behandling av uppgifterna kommer att stå i strid med EU:s dataskyddsförordning.1 Enligt tingsrätten gällde därför sekretess för uppgifterna enligt 21 kap. 7 § offentlighets- och sekretesslagen (2009:400).

5. Hovrätten har avslagit Trobars överklagande.

Målet i Högsta domstolen

6. Målet gäller frågan om det råder sekretess för de begärda uppgifterna och, i så fall, om uppgifterna bör lämnas ut med förbehåll. I målet aktualiseras förhållandet mellan 21 kap. 7 § offentlighets- och sekretesslagen, 1 kap. 7 § lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (i det följande dataskyddslagen) och reglerna i dataskyddsförordningen.

Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning).

s. 4 Sida 4 av 31 i domstolens handling

Om utlämnande av domar och andra domstolshandlingar

7. Var och en har till främjande av ett fritt meningsutbyte, en fri och allsidig upplysning och ett fritt konstnärligt skapande rätt att ta del av allmänna handlingar i den utsträckning som inte reglerna om sekretess hindrar detta (se 2 kap. 1 och 2 §§ tryckfrihetsförordningen).

8. Regler om sekretess finns i offentlighets- och sekretesslagen. Sekretess innebär att det är förbjudet att röja den uppgift som det gäller sekretess för, oavsett om det sker muntligen, genom utlämnande av en allmän handling eller på något annat sätt (se 3 kap. 1 § offentlighets- och sekretesslagen).

9. Utgångspunkten är att brottmålsdomar är offentliga. Om en uppgift tas in i en domstols dom upphör eventuell sekretess för uppgiften att gälla, om inte domstolen beslutar om fortsatt sekretess (jfr 43 kap. 8 § offentlighets- och sekretesslagen).

10. Brottmålsdomar har i linje med detta i regel lämnats ut till den som har begärt det, även när det har rört sig om en större mängd. Också andra handlingar med kopplingar till brottmål, t.ex. dagboksblad och protokoll, lämnas regelmässigt ut, såvida det inte finns någon särskild sekretessbestämmelse som är tillämplig på uppgifter i dem.

11. Som framgår av hovrättens beslut har dock frågan väckts i vilken utsträckning 21 kap. 7 § offentlighets- och sekretesslagen som hänvisar till dataskyddsförordningen – eller dataskyddsförordningen som sådan – kan utgöra hinder mot att lämna ut sådana handlingar.

Bestämmelsen i 21 kap. 7 § offentlighets- och sekretesslagen

12. Enligt 21 kap. 7 § offentlighets- och sekretesslagen gäller sekretess

för en personuppgift om det kan antas att uppgiften efter ett utlämnande

s. 5 Sida 5 av 31 i domstolens handling

kommer att behandlas i strid med dataskyddsförordningen eller dataskyddslagen.

13. Sekretessbestämmelsen i 21 kap. 7 § skiljer sig från andra sekretessbestämmelser såtillvida att den inte tar sikte på uppgifterna som sådana, utan på vad som kan antas ske med dem efter ett utlämnande. Enligt bestämmelsen ska den utlämnande myndigheten ta hänsyn till vad som kan antas om den kommande behandlingen och dess karaktär. En liknande bestämmelse har funnits sedan 1973. Bestämmelsen motiverades då bland annat med behovet av att skapa viss kontroll över möjligheterna att genom inhämtande av personuppgifter från befintliga register bygga upp nya register för andra ändamål än de ursprungliga (se prop. 1973:33 s. 100 f.).

14. En bedömning enligt paragrafen behöver göras endast om det finns konkreta omständigheter som indikerar att mottagaren kommer att behandla uppgifterna på ett sätt som strider mot dataskyddsregleringen, t.ex. att det är fråga om ett massuttag. Någon fullständig bedömning av om behandlingen kommer att strida mot dataskyddsförordningen eller dataskyddslagen behöver inte göras. (Jfr prop. 2017/18:105 s. 135 f.)

Dataskyddsförordningen

15. Dataskyddsförordningen är bindande och direkt tillämplig i alla EU:s medlemsstater (se artikel 288 andra stycket i fördraget om Europeiska unionens funktionssätt). Förordningen tillkom för att bland annat garantera en enhetlig och hög skyddsnivå för fysiska personer som är likvärdig i alla medlemsstater. Den ska ses i ljuset av att skyddet för fysiska personer vid behandling av personuppgifter är en grundläggande rättighet enligt Europeiska unionens stadga om de grundläggande rättigheterna. (Jfr dataskyddsförordningen, skäl 1 och 10; jfr även artikel 8 i stadgan och artikel 16 i fördraget om Europeiska unionens funktionssätt.)

s. 6 Sida 6 av 31 i domstolens handling

16. I artikel 5 i dataskyddsförordningen anges att vissa grundläggande principer ska följas vid behandling av personuppgifter. Av dessa principer följer bland annat att uppgifterna ska behandlas på ett lagligt, korrekt och öppet sätt samt att de ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Vidare ska de inte förvaras i en form som möjliggör identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas och de får lagras under längre perioder endast för vissa ändamål.

17. De i artikel 5 angivna principerna kompletteras i artikel 6 med mer konkreta krav som måste vara uppfyllda för att behandlingen av uppgifterna ska vara laglig. Ett centralt krav är att någon av de grunder som anges i artikeln måste vara tillämplig för att en uppgift ska få behandlas. Exempel på sådana grunder är att det föreligger samtycke från den berörde eller att behandlingen är nödvändig för att fullgöra en rättslig förpliktelse.

18. I artikel 9 regleras behandling av vissa särskilda kategorier av personuppgifter. Det gäller bland annat uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning. Behandling av sådana uppgifter är förbjuden om inte den registrerade uttryckligen har lämnat sitt samtycke eller behandlingen är nödvändig av vissa angivna skäl.

19. I artikel 10 finns regler som särskilt tar sikte på behandlingen av personuppgifter som rör fällande domar i brottmål, lagöverträdelser som utgör brott och därmed sammanhängande säkerhetsåtgärder. Behandling av sådana uppgifter får utföras endast under kontroll av myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella

rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter

s. 7 Sida 7 av 31 i domstolens handling

fastställs. Ett fullständigt register över fällande domar i brottmål får föras endast under kontroll av en myndighet. (Angående EU-domstolens tolkning av begreppen lagöverträdelser och fällande domar, se domstolens dom av den 24 september 2019, GC m.fl., C-136/17, EU:C:2019:773, p. 72.)

20. Syftet med artikel 10 är att säkerställa ett utökat skydd mot sådan behandling av personuppgifter som, på grund av att uppgifterna är särskilt känsliga, kan utgöra ett särskilt allvarligt ingrepp i den grundläggande rätten till respekt för privatlivet och skydd för personuppgifter enligt artiklarna 7 och 8 i EU:s rättighetsstadga (se EU-domstolens dom av den 22 juni 2021, Latvijas Republikas Saeima, C-439/19, EU:C:2021:504, p. 74).

21. Medlemsstaterna ska enligt artikel 85 i dataskyddsförordningen genom lag förena rätten till integritet enligt förordningen med yttrande- och informationsfriheten. De ska vidare – om det är nödvändigt för att förena rätten till integritet med yttrande- och informationsfriheten – fastställa undantag eller avvikelser från vissa uppräknade delar av förordningen (bland annat artikel 10) för viss behandling, exempelvis sådan som sker för journalistiska ändamål.

22. Av EU-domstolens praxis följer att uttrycket behandling för journalistiska ändamål ska tolkas brett. Det omfattar bland annat att sprida information, åsikter eller idéer till allmänheten. Vilken teknik som används eller om verksamheten bedrivs i vinstsyfte påverkar inte bedömningen. Även behandling av personuppgifter som innebär att material som har samlats in från myndigheter i oförändrad form tillhandahålls kommersiellt kan utgöra behandling för journalistiska ändamål. (Se EU-domstolens dom av den 16 december 2008, Satakunnan Markkinapörssi och Satamedia, C-73/07, EU:C:2008:727, p. 55–62.)

s. 8 Sida 8 av 31 i domstolens handling

23. För att jämka samman allmänhetens rätt att få tillgång till allmänna handlingar med rätten till skydd av personuppgifter i enlighet med förordningen får bland annat myndigheter, i enlighet med den unionsrätt eller den medlemsstats rätt som gäller, lämna ut personuppgifter i allmänna handlingar (se artikel 86).

24. Det finns alltså ett utrymme enligt artiklarna 85 och 86 i förordningen att begränsa rätten till skydd för personuppgifter, men bara under förutsättning att begränsningarna är föreskrivna i lag, förenliga med det väsentliga innehållet i de grundläggande rättigheterna och uppfyller de krav som följer av den unionsrättsliga proportionalitetsprincipen. Det betyder bland annat att begränsningarna inte får gå utöver vad som är strikt nödvändigt, och det förutsätts också att det finns tydliga och precisa bestämmelser som reglerar räckvidden och tillämpningen av undantagen. (Jfr t.ex. Latvijas Republikas Saeima, p. 105 och 106 med vidare hänvisning.)

25. Det sagda innebär att det är förutsatt att skyddet för personuppgifter kan variera mellan medlemsstaterna. Men det är samtidigt inte givet att de sammanjämkningar av olika intressen som har gjorts är godtagbara enligt unionsrätten.

Dataskyddslagen

26. I dataskyddslagen finns kompletterande bestämmelser till dataskyddsförordningen.

27. I 1 kap. 7 § första stycket föreskrivs att dataskyddsförordningen och dataskyddslagen inte ska tillämpas i den utsträckning det skulle strida mot tryckfrihetsförordningen eller yttrandefrihetsgrundlagen. Bestämmelsen omfattar inte bara sådan tillämpning av dataskyddsregleringen som skulle

s. 9 Sida 9 av 31 i domstolens handling

strida mot tryck- och yttrandefriheten, utan också sådan som skulle strida mot offentlighetsprincipen (jfr prop. 2017/18:105 s. 43).

28. I paragrafens andra stycke anges att artiklarna 5–30 och 35–50 i dataskyddsförordningen samt 2–5 kap. dataskyddslagen inte ska tillämpas vid behandling av personuppgifter som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande. I målet är det främst undantaget för journalistiska ändamål som är av intresse. Uttrycket behandling för journalistiska ändamål ska ges samma innebörd som enligt unionsrätten (se p. 22, jfr ”Stiftelsens webbplats” NJA 2001 s. 409).

Avgöranden från EU-domstolen

29. EU-domstolen har i ett par avgöranden behandlat frågor som har gällt utlämnande av personuppgifter från myndigheter i relation till bland annat artikel 10 i dataskyddsförordningen.

30. I rättsfallet Latvijas Republikas Saeima konstaterade domstolen att bestämmelserna i dataskyddsförordningen utgör hinder för en nationell lagstiftning som innebär att ett offentligt organ som ansvarar för ett register med information om prickning av förare vid överträdelser av trafikregler är skyldigt att göra uppgifterna tillgängliga för allmänheten, utan att den som begär att få tillgång till uppgifterna behöver visa att han eller hon har ett särskilt intresse av att erhålla dem. Dataskyddsförordningen ansågs också utgöra hinder mot att det offentliga organet överför sådana uppgifter till ekonomiska aktörer för vidareutnyttjande, så att den som önskar få upplysningar om eventuell prickning kan vända sig direkt till dessa aktörer och få ut uppgifterna. (Se Latvijas Republikas Saeima, p. 122 och 129.)

31. Vid prövningen av om de nationella reglerna kunde anses vara förenliga med dataskyddsförordningen gjordes en bedömning av huruvida

dessa, som alltså innebar en begränsning av skyddet i dataskyddsförordningen,

s. 10 Sida 10 av 31 i domstolens handling

var nödvändiga och proportionerliga i förhållande till de eftersträvade målen med regleringen. Inom ramen för den bedömningen beaktade domstolen såväl rätten till informationsfrihet enligt artikel 85 som allmänhetens rätt att få tillgång till allmänna handlingar enligt artikel 86, men fann att rätten till skydd för detta slags personuppgifter måste anses väga tyngre. (Se Latvijas Republika Saeima, p. 102–121 och 126.)

32. I ett senare avgörande har EU-domstolen på motsvarande sätt konstaterat att dataskyddsförordningen utgör hinder mot att uppgifter om fällande domar i brottmål avseende fysiska personer i ett register som förs av domstol lämnas ut till vem som helst för att säkerställa allmänhetens tillgång till allmänna handlingar, utan att den person som begär utlämnandet behöver visa att personen har ett särskilt intresse av att få ut uppgifterna. (EU-domstolens dom av den 7 mars 2024, C-740/22, Endemol Shine Finland, EU:C:2024:216, p. 58.)

Den svenska ordningens förenlighet med unionsrätten

33. Högsta domstolen har att ta ställning till om, och i så fall på vilket sätt, prövningen av en begäran om att få ut allmänna handlingar som innehåller uppgifter om lagöverträdelser påverkas av dataskyddsförordningen.

34. Som framgår av det föregående föreskrivs i 1 kap. 7 § första stycket dataskyddslagen att den lagen och dataskyddsförordningen inte ska tillämpas i den utsträckning det skulle strida mot tryckfrihetsförordningen eller yttrandefrihetsgrundlagen.

35. Lagstiftarens avsikt med bestämmelsen får sägas ha varit att dataskyddsförordningen och dataskyddslagen över huvud taget inte ska tillämpas på det grundlagsskyddade området. Det skulle innebära att man i en verksamhet som omfattas av tryckfrihetsförordningen eller

yttrandefrihetsgrundlagen inte skulle behöva följa dataskyddsförordningen

s. 11 Sida 11 av 31 i domstolens handling

och att förordningen inte heller skulle inskränka myndigheternas skyldigheter att lämna ut personuppgifter. (Jfr prop. 2017/18:105 s. 40 ff., jfr även prop. 1997/98:44 s. 43 ff. angående den tidigare gällande regleringen.)

36. Med en sådan utgångspunkt är det följdriktigt att uppfatta 21 kap. 7 § offentlighets- och sekretesslagen på så sätt att sekretess enligt bestämmelsen inte kan föreligga i dessa fall; bestämmelsen förutsätter ju en bedömning av vad som kan antas om den kommande behandlingens förenlighet med dataskyddsregleringen.

37. Motsvarande gäller avseende fall där undantaget i 1 kap. 7 § andra stycket dataskyddslagen är tillämpligt, t.ex. vid behandling av personuppgifter för journalistiska ändamål utanför det grundlagsskyddade området. I stycket föreskrivs att vid sådan behandling ska flera av dataskyddsförordningens centrala bestämmelser, bland annat artiklarna 5–10, inte tillämpas.

38. Vid en tillämpning av den nationella regleringen måste emellertid unionsrättens krav beaktas. Medlemsstaterna ska enligt artiklarna 85 och 86 i dataskyddsförordningen visserligen göra en avvägning mellan intresset av yttrande- och informationsfrihet och allmänhetens rätt att få tillgång till allmänna handlingar å den ena sidan och rätten till skydd för personuppgifter å den andra. Men det kan ifrågasättas om en reglering som innebär att personuppgifter om lagöverträdelser i stor omfattning ska lämnas ut samtidigt som dataskyddsregleringen inte alls – eller endast till viss del – gäller för den efterföljande behandlingen av uppgifterna, går att förena med unionsrättens krav.

39. Brottmålsdomar innehåller många olika uppgifter av känslig natur. De innehåller inte bara personuppgifter om tilltalade och dömda, brott som

ett avgörande avser och den eventuella påföljd som dömts ut. Där finns

s. 12 Sida 12 av 31 i domstolens handling

också ett stort antal andra personuppgifter, bland annat om målsägande och vittnen och om omständigheter kring de åtalade händelserna som kan knytas till olika personer.

40. Om 1 kap. 7 § första stycket dataskyddslagen uppfattas på det sätt som lagstiftaren får sägas ha avsett innebär regleringen att skyddet för dessa personuppgifter – på det grundlagsskyddade området – uteslutande kommer att bygga på de möjligheter till ingripande som ges enligt tryckfrihetsförordningen och yttrandefrihetsgrundlagen och som i grunden har andra syften än att skapa ett personuppgiftsskydd. Om bestämmelsen uppfattas på detta sätt finns det inte heller några regler om hur personuppgifterna får behandlas eller några förutsättningar att utöva tillsyn såvitt avser uppgifter om lagöverträdelser.

41. Också i de fall som avses i 1 kap. 7 § andra stycket innebär en sådan ordning (se p. 35–37) att skyddet för personuppgifter i mycket stor utsträckning får stå tillbaka för intresset av yttrande- och informationsfrihet.

42. Högsta domstolen gör sammantaget bedömningen att det inte kan anses förenligt med unionsrätten att ha en ordning som innebär att brottmålsdomar i stor omfattning lämnas ut med följd att en betydande mängd personuppgifter rörande lagöverträdelser därefter kan behandlas i en databas och göras tillgängliga för andra. I princip finns då inte något annat skydd för integritetsintresset än det som kan ligga i ingripanden med stöd av mediegrundlagarna och brottsbalken. En sådan ordning undergräver närmast helt det skydd vid behandling av uppgifter om lagöverträdelser som dataskyddsförordningen syftar till att ge och kan inte anses innebära att det har fastställts lämpliga skyddsåtgärder för de registrerades rättigheter och friheter på det sätt som förutsätts enligt artikel 10 i dataskyddsförordningen. Bedömningen att detta inte är godtagbart gäller även i förhållande till

s. 13 Sida 13 av 31 i domstolens handling

behandling som sker för journalistiska ändamål eller andra ändamål som avses i artikel 85.

43. Det är alltså inte möjligt att förena den svenska regleringen med dataskyddsförordningen på det sätt som lagstiftaren får antas ha avsett.

Konsekvenserna för den prövning som ska göras enligt 21 kap. 7 § offentlighets- och sekretesslagen

Utgångspunkter

44. Det är inte möjligt för Högsta domstolen att i ett enskilt avgörande mer generellt lösa de frågor som är förknippade med den svenska regleringen av dataskyddsförordningens tillämplighet. Domstolens uppgift är att ta ställning till hur frågorna i målet ska bedömas och då särskilt hur 21 kap. 7 § offentlighets- och sekretesslagen ska tillämpas.

45. Det kan erinras om att de allmänna frågeställningarna rörande avsaknaden av skydd för integritetsintresset vid behandling av personuppgifter på det grundlagsskyddade området är långt ifrån nya. Redan i samband med införandet av systemet med frivilliga utgivningsbevis i yttrandefrihetsgrundlagen hade konstitutionsutskottet farhågor om att grundlagsskyddet skulle kunna komma att omfatta databaser som utgör rena personregister och att detta kunde komma i konflikt med bestämmelser som har till syfte att skydda den personliga integriteten (jfr bet. 2001/02:KU21 s. 31 f.).

46. Det finns även skäl att här nämna att två förslag har lagts fram till riksdagen som syftat till att bättre balansera yttrandefrihets- och informationsfrihetsintressena med skyddet för personuppgifter avseende lagöverträdelser (se prop. 2017/18:49 och prop. 2021/22:59). Dessa har

s. 14 Sida 14 av 31 i domstolens handling

dock inte lett till lagstiftning. Till detta kommer att det återigen har lagts fram förslag rörande bland annat denna frågeställning (se SOU 2024:75). I sammanhanget kan även nämnas Integritetsskyddsmyndighetens rättsliga ställningstagande 2024:1 som emellertid är begränsat till söktjänster med utgivningsbevis.

47. Mot bakgrund av det som nu har sagts inställer sig frågan om det är möjligt att tolka och tillämpa det svenska regelverket på ett sätt som kan förenas med dataskyddsförordningen.

Bestämmelsen i 1 kap. 7 § första stycket dataskyddslagen

48. Som framgått av det föregående får lagstiftarens avsikt sägas ha varit att dataskyddsförordningen och dataskyddslagen inte alls ska tillämpas på det grundlagsskyddade området. Det kan emellertid konstateras att detta inte kommer till uttryck i lagtexten. I 1 kap. 7 § första stycket dataskyddslagen anges att dataskyddsförordningen inte ska tillämpas ”i den utsträckning det skulle strida mot tryckfrihetsförordningen eller yttrandefrihetsgrundlagen”. Bestämmelsens utformning talar alltså närmast för att dataskyddsförordningen får vika först när det råder en konflikt mellan regelverken.

49. Det bör framhållas att det förhållandet att det gäller sekretess för vissa uppgifter som utgångspunkt inte kan anses innebära att det föreligger en konflikt med tryckfrihetsförordningen eller yttrandefrihetsgrundlagen. Tvärtom är det i tryckfrihetsförordningen förutsatt att riksdagen ska kunna lagstifta om sekretess och att sekretess då gäller också i förhållande till verksamheter som omfattas av tryckfrihetsförordningen eller yttrandefrihetsgrundlagen.

s. 15 Sida 15 av 31 i domstolens handling

50. Det finns också skäl att notera att 1 kap. 7 § dataskyddslagen och 21 kap. 7 § offentlighets- och sekretesslagen, såvitt nu är aktuellt, fick sin utformning i samma lagstiftningssammanhang. Den naturliga utgångspunkten bör vara att den ena bestämmelsen inte utesluter tillämpning av den andra. Till bilden hör också att det inte finns några uttalanden i förarbetena till 21 kap. 7 § som berör frågan om sekretessen bör gälla i förhållande till verksamheter som omfattas av grundlagsskydd enligt tryckfrihetsförordningen eller yttrandefrihetsgrundlagen.

51. Högsta domstolen gör mot denna bakgrund bedömningen att det finns utrymme att tolka 1 kap. 7 § första stycket dataskyddslagen så att bestämmelsen inte hindrar att dataskyddsförordningens krav beaktas vid tillämpningen av den särskilda sekretessbestämmelsen i 21 kap. 7 § offentlighets- och sekretesslagen även på det grundlagsskyddade området. Och en sådan tolkning bör göras oavsett hur man ska se på innebörden av 1 kap. 7 § första stycket när det gäller frågan om förordningen kan tillämpas på den följande behandlingen i den verksamhet som omfattas av grundlagsskyddet.

52. Det betyder att den myndighet som har att göra en prövning enligt 21 kap. 7 § offentlighets- och sekretesslagen ska bedöma om uppgifterna efter ett utlämnande kan antas komma att behandlas i strid med bestämmelserna i dataskyddsförordningen, utan att ta ställning till i vilken mån den svenska regleringen innebär att förordningen inte ska tillämpas i den verksamhet som bedrivs av den som har begärt att få ut uppgifterna. Dataskyddsförordningen kan vid tillämpningen av 21 kap. 7 § då närmast ses som en fristående måttstock för när sekretess råder för uppgifter som annars skulle ha varit offentliga.

s. 16 Sida 16 av 31 i domstolens handling

53. På detta sätt kan ett hänsynstagande till kraven i förordningen ske när det avgörs huruvida allmänna handlingar som innehåller personuppgifter ska lämnas ut.

Bestämmelsen i 1 kap. 7 § andra stycket dataskyddslagen

54. I 1 kap. 7 § andra stycket anges att undantag från dataskydds- förordningens tillämpning ska göras i princip i samtliga de delar där förordningen öppnar för undantag. Närmare bestämt undantas, som framgått, artiklarna 5–30 och 35–50 i dataskyddsförordningen. Lagstiftaren har här mer tydligt använt den ordning för nationell anpassning som dataskyddsförordningen anvisar i artikel 85.

55. Av förarbetena framgår att det huvudsakliga syftet med undantaget i andra stycket har varit att se till att bland annat journalistisk verksamhet som inte omfattas av tryckfrihetsförordningen och yttrandefrihets- grundlagen undantas från delar av dataskyddsförordningen och dataskyddslagen. En utgångspunkt vid utformningen av bestämmelsen har varit att undantag bör införas i den utsträckning som förordningen tillåter det (se prop. 2017/18:105 s. 44 f. och 187). Det kan noteras att bestämmelsen – även om den syftar till att träffa sådan verksamhet som inte omfattas av tryckfrihetsförordningen eller yttrandefrihetsgrundlagen – enligt sin ordalydelse täcker också verksamhet som har grundlagsskydd.

56. Ordalydelsen i andra stycket ger inte samma öppning för en tolkning i enlighet med unionsrätten som första stycket. De båda styckena måste dock ses i ett sammanhang. Andra stycket kan inte rimligen ges den innebörden att undantaget från dataskyddsförordningens tillämpning för icke-grundlagsskyddad verksamhet blir mer långtgående än det undantag som avser det grundlagsskyddade området.

s. 17 Sida 17 av 31 i domstolens handling

57. Andra stycket bör alltså, på motsvarande sätt som första stycket, tillämpas så att det inte hindrar att dataskyddsförordningen fullt ut beaktas vid en prövning enligt 21 kap. 7 § offentlighets- och sekretesslagen. Den myndighet som har att göra prövningen ska således bedöma om uppgifterna efter ett utlämnande kan antas komma att behandlas i strid med bestämmelserna i dataskyddsförordningen, utan att ta ställning till om de undantagna artiklarna i förordningen ska tillämpas i den verksamhet som bedrivs av den som har begärt att få ut uppgifterna.

Sammanfattande slutsats

58. Sammantaget innebär det sagda att 1 kap. 7 § dataskyddslagen – bedömd i ljuset av unionsrätten – inte hindrar att dataskyddsförordningen beaktas vid tillämpningen av sekretessbestämmelsen i 21 kap. 7 § offentlighets- och sekretesslagen.

Bedömningen i detta fall

Gäller sekretess enligt 21 kap. 7 § offentlighets- och sekretesslagen?

59. För att sekretess enligt 21 kap. 7 § offentlighets- och sekretesslagen ska gälla för de uppgifter som Trobar har begärt att få ut krävs att det kan antas att uppgifterna efter ett utlämnande kommer att behandlas på ett sätt som är oförenligt med dataskyddsförordningen. Antagandet måste bygga på att det finns konkreta omständigheter som indikerar detta, men någon fullständig bedömning av om den behandling som kan antas komma att ske är oförenlig med dataskyddsförordningen behöver inte göras (se p. 14). Något ställningstagande till i vilken mån förordningen ska tillämpas i Trobars verksamhet ska inte göras, utan förordningen ska användas som en fristående måttstock vid bedömningen (se p. 52 och 57).

s. 18 Sida 18 av 31 i domstolens handling

60. Trobar har begärt att få ut ett större antal brottmålsdomar och andra handlingar kopplade till brottmål såsom beslut, protokoll och dagboksblad. Handlingarna innehåller uppgifter om lagöverträdelser och andra uppgifter av känslig natur. Trobar har återkommande begärt ut allmänna handlingar på motsvarande sätt. Mot denna bakgrund, och med beaktande av den omfattande behandling av personuppgifter av detta slag som sker hos Trobar, kan det antas att de personuppgifter som finns i de begärda handlingarna kommer att behandlas på ett sätt som är oförenligt med artikel 10 i dataskyddsförordningen (jfr p. 42). Sekretess gäller följaktligen för de personuppgifter som finns i de handlingar som har begärts ut.

Finns det förutsättningar att lämna ut handlingarna med förbehåll?

61. Om en myndighet finner att sådan risk för skada, men eller annan olägenhet som enligt en bestämmelse om sekretess hindrar att en uppgift lämnas till en enskild kan undanröjas genom ett förbehåll som inskränker den enskildes rätt att lämna uppgiften vidare eller utnyttja den, ska myndigheten göra ett sådant förbehåll när uppgiften lämnas till den enskilde (10 kap. 14 § första stycket offentlighets- och sekretesslagen).

62. Det framstår som klart att bestämmelsen är skriven med tanke på sådana sekretessbestämmelser vilkas tillämpning förutsätter ett beaktande av skada, men eller annan olägenhet. Någon hänvisning till sådana faktorer finns inte i 21 kap. 7 § offentlighets- och sekretesslagen men det finns heller inte något undantag i 10 kap. 14 § som innebär att den inte kan tillämpas vid sekretess enligt 21 kap. 7 §. Sistnämnda bestämmelse syftar vidare, i likhet med flera andra sekretessregler, till att skydda uppgifter om enskildas personliga förhållanden. Ett utlämnande av uppgifter som är oförenligt med dataskyddsförordningen får därmed anses kunna medföra skada, men eller annan olägenhet. Även om resultatet av ett förbehåll inte

fullt ut blir detsamma som i andra fall bör bestämmelsen i 10 kap. 14 §

s. 19 Sida 19 av 31 i domstolens handling

första stycket därför kunna tillämpas också när sekretess gäller enligt 21 kap. 7 §.

63. Att med stöd av 10 kap. 14 § ställa upp ett förbehåll vid utlämnande av handlingar kan vara ett sätt att i viss mån åstadkomma en sådan avvägning mellan olika intressen som dataskyddsförordningen förutsätter. Det gäller särskilt när intresset av yttrande- och informationsfrihet ska förenas med rätten till integritet.

64. Av handlingarna i målet framgår att Trobars databas i inte obetydlig omfattning syftar till att möjliggöra olika typer av bakgrundskontroller. Det finns bland annat en tjänst som innebär att kunden aviseras när ett visst personnummer förekommer i en handling i databasen. Trobar publicerar emellertid också i viss utsträckning egna nyheter och nyhetsunderlag. Intresset av att kunna fortsätta bedriva den verksamheten bör beaktas vid prövningen av om ett förbehåll bör meddelas.

65. När det gäller den verksamhet som består i att möjliggöra bakgrundskontroller kommer ett förbehåll, som är utformat på ett sådant sätt att det undanröjer den risk för skada eller men som följer med ett utlämnande av handlingarna, att innebära att verksamheten inte kan fortgå. Att lämna ut handlingarna med förbehåll kan då framstå som meningslöst.

66. Trobar ägnar sig dock i viss utsträckning också åt verksamhet som kan antas ske för journalistiska ändamål. Handlingarna bör därför lämnas ut med förbehåll som gör att intresset av att kunna bedriva den verksamheten balanseras mot integritetsintresset.

67. En rimlig balans mellan dessa intressen kan uppnås om förbehållet utformas så att det tar sikte på att förhindra dels att handlingarna – med de personuppgifter som finns i dem – tillhandahålls av Trobar, dels att

personuppgifterna görs sökbara för andra eller används för att avisera

s. 20 Sida 20 av 31 i domstolens handling

andra om handlingarnas innehåll, men samtidigt inte förhindrar att personuppgifterna används i t.ex. nyhetstexter eller nyhetsunderlag som Trobar producerar.

68. Det innebär att handlingarna ska lämnas ut av tingsrätten med ett sådant förbehåll.

I avgörandet har deltagit justitieråden Anders Eka, Henrik Jermsten (skiljaktig), Kristina Ståhl, Agneta Bäcklund (skiljaktig), Thomas Bull (skiljaktig), Petter Asp (referent) och Cecilia Renfors. Föredragande har varit justitiesekreteraren Malin Falkmer.

s. 21 Sida 21 av 31 i domstolens handling

SKILJAKTIG MENING

Justitieråden Henrik Jermsten och Thomas Bull är skiljaktiga och anser att överklagandet ska avslås. Enligt deras mening bör skälen lyda enligt följande.

SKÄL

Bakgrund

¶1. Trobar AB tillhandahåller via en rättsdatabas information som hämtas in från landets domstolar samt från Åklagarmyndigheten och Ekobrottsmyndigheten. Informationen i databasen består av domar, beslut, protokoll, dagboksblad och beslut om strafförelägganden och åtalsunderlåtelser.

¶2. Trobars databas riktar sig till företag och organisationer som har behov av information av detta slag för sin verksamhet, t.ex. bakgrunds- kontrollföretag eller sådana som sysslar med journalistik eller forskning. Det finns bland annat en tjänst som innebär att en kund aviseras när ett visst person- eller organisationsnummer förekommer i en handling. Databasen riktar sig inte till privatpersoner och det sker en prövning innan någon tillåts att bli kund hos bolaget. Trobars rättsdatabas har grundlagsskydd enligt yttrandefrihetsgrundlagen genom utgivningsbevis (se 1 kap. 4 och 5 §§ yttrandefrihetsgrundlagen).

¶3. Trobar begärde hos Umeå tingsrätt att få ut domar, beslut, protokoll och dagboksblad i brottmål.

¶4. Tingsrätten beslutade att avslå Trobars begäran med hänvisning till att Trobar begärt ut uppgifter i en sådan omfattning och med sådant innehåll att det kan antas att behandlingen kommer att stå i strid med EU:s

s. 22 Sida 22 av 31 i domstolens handling

dataskyddsförordning. Enligt tingsrätten gällde därför sekretess för uppgifterna enligt 21 kap. 7 § offentlighets- och sekretesslagen (2009:400).

¶5. Hovrätten avslog Trobars överklagande.

Om utlämnande av domar m.m.

¶6. Var och en har till främjande av ett fritt meningsutbyte, en fri och allsidig upplysning och ett fritt konstnärligt skapande rätt att ta del av allmänna handlingar i den utsträckning som inte reglerna om sekretess hindrar detta (2 kap. 1 och 2 §§ tryckfrihetsförordningen).

¶7. Enligt 21 kap. 7 § offentlighets- och sekretesslagen gäller sekretess för en personuppgift om det kan antas att uppgiften efter ett utlämnande kommer att behandlas i strid med EU:s dataskyddsförordning eller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskydds- förordning (dataskyddslagen).

¶8. Den aktuella sekretessbestämmelsen skiljer sig från andra sekretess- bestämmelser såtillvida att den inte tar sikte på uppgifterna som sådana, utan på vad som kan antas ske med dem efter ett utlämnande. En bedömning enligt paragrafen behöver göras endast om det finns konkreta omständigheter som indikerar att mottagaren kommer att behandla uppgifterna på ett sätt som strider mot dataskyddsregleringen, t.ex. att det är fråga om ett massuttag. Någon fullständig bedömning av om behandlingen kommer att strida mot dataskyddsförordningen eller dataskyddslagen behöver inte göras. (Jfr prop. 2017/18:105 s. 135 f.)

¶9. Dataskyddsförordningen uppställer i artiklarna 5 och 6 vissa grundläggande krav på behandlingen av personuppgifter. Bland annat att de ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål.

Uppgifterna ska vidare behandlas på ett lagligt, korrekt och öppet sätt i

s. 23 Sida 23 av 31 i domstolens handling

förhållande till den registrerade samt vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Ett centralt krav är vidare att någon av de grunder som anges i artikel 6 måste vara tillämplig för att en uppgift ska få behandlas. Exempel på sådana grunder är att det föreligger samtycke från den registrerade eller att behandlingen är nödvändig för att fullgöra en rättslig förpliktelse.

¶10. I artikel 9 regleras behandling av vissa särskilda kategorier av personuppgifter. Det gäller bland annat uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning. Behandling av sådana uppgifter är förbjuden om inte den registrerade uttryckligen har lämnat sitt samtycke eller behandlingen är nödvändig av vissa angivna skäl.

¶11. I artikel 10 finns regler som särskilt tar sikte på behandlingen av personuppgifter som rör fällande domar i brottmål, lagöverträdelser som utgör brott och därmed sammanhängande säkerhetsåtgärder. Behandling av sådana uppgifter får utföras endast under kontroll av en myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Ett fullständigt register över fällande domar i brottmål får föras endast under kontroll av en myndighet.

¶12. Medlemsstaterna ska enligt artikel 85 i förordningen genom lag förena rätten till integritet enligt dataskyddsförordningen med yttrande- och informationsfriheten, inbegripet behandling som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande. De ska vidare för behandling som sker för sådana ändamål – om det är nödvändigt för att förena rätten till integritet med yttrande- och informationsfriheten –

s. 24 Sida 24 av 31 i domstolens handling

fastställa undantag eller avvikelser från vissa uppräknade delar av förordningen, däribland artiklarna 5, 6, 9 och 10.

¶13. I 1 kap. 7 § första stycket dataskyddslagen anges att dataskydds- förordningen och dataskyddslagen inte ska tillämpas i den utsträckning det skulle strida mot tryckfrihetsförordningen eller yttrandefrihetsgrundlagen. Av andra stycket samma paragraf följer att bland annat artiklarna 5, 6, 9 och 10 i dataskyddsförordningen inte ska tillämpas vid behandling av personuppgifter som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande.

Den svenska sammanjämkningen enligt artikel 85

¶14. Inledningsvis kan konstateras att en EU-förordning till alla delar är bindande och direkt tillämplig i varje medlemsstat. Enligt fast praxis gäller att bestämmelser i förordningar i allmänhet har omedelbara verkningar i de nationella rättsordningarna, utan att det krävs att de nationella myndigheterna vidtar några tillämpningsåtgärder (EU-domstolens dom av den 15 maj 2021, Facebook Ireland m.fl., C-645/19, EU:C:2021:483, p. 110 och där angiven rättspraxis).

¶15. När det gäller vissa artiklar i dataskyddsförordningen utgör dessa emellertid inte en komplett reglering utan förordningen förutsätter en kompletterande reglering i nationell rätt. Så är exempelvis fallet beträffande förordningens krav på en nationell sammanjämkning av förordningens regler om skydd för personuppgifter med yttrande- och informationsfriheten.

¶16. Hur yttrandefrihet, informationsfrihet och skyddet för person- uppgifter ska förenas och sammanjämkas framgår således inte av dataskyddsförordningen. Det finns dessutom ett utrymme för olikheter mellan medlemsstaterna i fråga om innehållet i bestämmelser som

sammanjämkar rätten till skydd för personuppgifter med yttrande- och

s. 25 Sida 25 av 31 i domstolens handling

informationsfrihet (EU-domstolens dom av den 24 september 2019, Google, C-507/17, EU:C:2019:772, p. 69).

¶17. Att man i flera medlemsstater gjort omfattande undantag från dataskyddsförordningens bestämmelser för journalistisk verksamhet står klart (se SOU 2024:75 s. 120 ff. avseende Norge, Danmark och Finland). Även i Nederländerna och Österrike har man, på ett sätt som liknar den svenska regleringen i sak, undantagit verksamheter som är journalistiska från förordningens tillämpningsområde.

¶18. Till bilden hör vidare att det vid sammanjämkningen enligt artikel 85 måste beaktas att rättigheterna i Europeiska unionens stadga om de grundläggande rättigheterna har en likvärdig ställning. Skyddet av personuppgifter regleras i artikel 8 och yttrande- och informationsfrihet skyddas genom artikel 11. Från unionsrättslig synvinkel har således ingen av rättigheterna en starkare ställning än den andra, utan vid konflikter måste de balanseras mot varandra.

¶19. Enligt svensk rätt ska alltså dataskyddsförordningen inte tillämpas i den utsträckning det skulle strida mot tryckfrihetsförordningen eller yttrandefrihetsgrundlagen (prop. 2017/18:105 s. 40 ff.). Vidare ska bland annat artiklarna 5, 6, 9 och 10 i dataskyddsförordningen även utanför det grundlagsskyddade området inte tillämpas vid behandling av personuppgifter som sker för journalistiska ändamål.

¶20. Utifrån artikel 85 i dataskyddsförordningen kan detta ställningstagande sägas innebära att den svenska lagstiftaren har bedömt att det är nödvändigt ur ett yttrandefrihetsperspektiv att helt undanta sådana aktörer som omfattas av grundlagsskydd från förordningens bestämmelser och att detsamma så långt möjligt ska gälla för sådana aktörer som saknar grundlagsskydd men vars verksamhet har journalistiska ändamål. Den

s. 26 Sida 26 av 31 i domstolens handling

praktiska effekten av detta är att personuppgiftsbehandlingen i allt väsentligt är oreglerad.

¶21. Mot bakgrund av EU-domstolens avgöranden av den 22 juni 2021 i målet Latvijas Republika Saeima (C-439/19, EU:C:2021:504) och av den 7 mars 2024 i målet Endemol Shine Finland (C-740/22, EU:C:2024:216) kan emellertid den frågan ställas om den svenska regleringen utgör en sammanvägning av yttrandefrihet, informationsfrihet och skyddet för personuppgifter som är fullt ut förenlig med unionsrätten.

¶22. Enligt Högsta domstolens mening finns det inledningsvis anledning att notera följande beträffande EU-domstolens avgöranden. Det förstnämnda rättsfallet rörde sammanjämkningen enligt artikel 86 dataskyddsförordningen mellan rätten till allmänna handlingar och rätten till skydd för personuppgifter och berörde endast artikel 85 i den del denna behandlar rätten till informationsfrihet. Någon yttrandefrihetsaspekt fanns inte i målet och de krav som artikel 85 ställer på en nationell sammanjämkning utifrån det intresset berördes inte. Avgörandet har därför ingen direkt betydelse för den nu aktuella situationen.

¶23. I det andra avgörandet fann EU-domstolen att respekten för privatlivet och skyddet för personuppgifter måste anses väga tyngre än allmänhetens intresse av att få tillgång till allmänna handlingar. Vidare framhölls att rätten till informationsfrihet enligt artikel 85 i dataskydds- förordningen inte ska tolkas så, att den motiverar att personuppgifter avseende fällande domar i brottmål lämnas ut till var och en som begär ut sådana uppgifter (p. 55 och 56).

¶24. EU-domstolens resonemang tog alltså sikte på intresseavvägningen mellan skyddet av personuppgifter om lagöverträdelser och allmänhetens tillgång till allmänna handlingar och informationsfriheten i allmänhet.

s. 27 Sida 27 av 31 i domstolens handling

Någon direkt bäring på situationer när en aktör begär ut uppgifter om lagöverträdelser för andra ändamål har avgörandet således inte.

¶25. Den slutsats som kan dras av EU-domstolens avgöranden är att vid sammanjämkningen mellan informationsfriheten och skyddet för personuppgifter ska proportionalitetsprincipen iakttas och de nationella regler som införs får inte gå utöver vad som är nödvändigt. Vad detta konkret betyder i en kontext där andra intressen står mot varandra än de som var aktuella i de båda rättsfallen är däremot inte givet.

¶26. En annan iakttagelse som kan göras utifrån de båda rättsfallen är att EU-domstolens bedömning av om sammanjämkningen enligt artikel 85 och 86 i dataskyddsförordningen är godtagbar, har skett utifrån de konkreta omständigheterna i det enskilda fallet. Även om hänsyn måste kunna tas till ett nationellt systems utformning på abstrakt nivå är det alltså effekterna i det konkreta fallet som är avgörande för prövningen av om t.ex. kravet på proportionalitet är uppfyllt eller inte.

Bedömningen i detta fall

¶27. I det nu aktuella fallet är fråga om en begäran om utfående av allmänna handlingar av en aktör som har grundlagsskydd för sin databas genom utgivningsbevis (se 1 kap. 4–6 §§ yttrandefrihetsgrundlagen).

¶28. Vid en ansökan om utgivningsbevis görs det inte någon prövning av databasens innehåll eller syfte. Av det förhållandet att frivilligt grundlagsskydd gäller för en viss verksamhet kan alltså inga slutsatser dras beträffande i vilken mån personuppgifter samlas in för journalistiska ändamål eller inte.

¶29. Trobar har upplyst följande om sin verksamhet.

s. 28 Sida 28 av 31 i domstolens handling

¶30. Trobar hämtar in information från domstolar och åklagarmyndigheter. Informationen består av domar, beslut, protokoll, dagboksblad, strafförelägganden och åtalsunderlåtelser. Databasen riktar sig till professionella och seriösa företag och organisationer, som har ett behov av den information som finns i databasen för sin yrkesutövning. En målgrupp är sådana seriösa bakgrundskontrollföretag som är medlemmar av bakgrundskontrollföretagens branschorganisation. En annan målgrupp ägnar sig åt bl.a. journalistik och forskning eller annan akademisk verksamhet.

¶31. För att få åtkomst till rättsdatabasen krävs att man är kund hos Trobar. Innan man kan bli kund genomför Trobar en prövning. Prövningen syftar till att säkerställa att databasen används enbart för lagliga, legitima och seriösa ändamål. Inom ramen för prövningen kontrollerar Trobar vilket slags företag eller organisation den som ansöker om att bli kund är. Trobar undersöker också vad sökanden avser att använda informationen i databasen till. Det är endast de sökande som uppfyller Trobars krav som får bli kunder hos Trobar.

¶32. Högsta domstolen finner, i likhet med hovrätten, att Trobars begäran får anses i huvudsak syfta till att inhämta uppgifter till en databas som riktar sig till företag och organisationer som har behov av information om lagöverträdelser för s.k. bakgrundskontroll. Det egentliga ändamålet med behandlingen av de begärda personuppgifterna kan därmed inte betraktas som journalistiskt. Att verksamheten också innefattar tillhandahållande av information till aktörer verksamma inom journalistik eller forskning ändrar inte denna bedömning.

¶33. Såvitt beträffar Trobar är det alltså inte vid bedömningen av om det svenska regelverkets sammanjämkning enligt artikel 85 gjorts på ett proportionerligt sätt fråga om att väga intresset av behandling för

journalistiska ändamål mot integritetsskyddsintresset. Här ska i stället

s. 29 Sida 29 av 31 i domstolens handling

intresset av att kunna genomföra bakgrundskontroller ställas mot intresset av skydd för personuppgifter och privatliv. Det ska då särskilt beaktas hur känsliga uppgifter om lagöverträdelser kan vara för enskilda (Latvijas Republika Saeima, p. 112 och 113).

¶34. Vid den avvägning som ska göras anser Högsta domstolen att de registrerades intresse av integritetsskydd väger tyngre än Trobars anspråk på yttrande- och informationsfrihet.

¶35. Det förhållandet att Trobar har ett utgivningsbevis bör därför inte medföra att bolagets behandling av personuppgifter ska betraktas som oreglerad. En sådan ordning är inte förenlig med det krav på proportionalitet som gäller avseende hur medlemsstaterna sammanjämkar intresset av skydd för personuppgifter med yttrande- och informationsfriheten. Det finns därför såvitt avser Trobars begäran om utfående av allmänna handlingar skäl att bortse från det grundlagsskydd som följer av utgivningsbeviset vid prövningen av om sekretess gäller enligt 21 kap. 7 § offentlighets- och sekretesslagen.

¶36. Högsta domstolen finner, liksom hovrätten har gjort, att det finns anledning att anta att Trobars behandling av de personuppgifter som de begärda handlingarna om lagöverträdelser innehåller kommer att ske i strid med dataskyddsförordningens regler. Sekretess föreligger således och överklagandet ska avslås.

s. 30 Sida 30 av 31 i domstolens handling

SKILJAKTIG MENING

Justitierådet Agneta Bäcklund är skiljaktig och anser att överklagandet ska avslås. Hon anser att skälen från och med punkten 61 ska ha följande lydelse.

¶61. Om en myndighet finner att sådan risk för skada, men eller annan olägenhet som enligt en bestämmelse om sekretess hindrar att en uppgift lämnas till en enskild kan undanröjas genom ett förbehåll som inskränker den enskildes rätt att lämna uppgiften vidare eller utnyttja den, ska myndigheten göra ett sådant förbehåll när uppgiften lämnas till den enskilde (10 kap. 14 § första stycket offentlighets- och sekretesslagen).

¶62. Det framstår som klart att bestämmelsen är skriven med tanke på sådana sekretessbestämmelser vars tillämpning förutsätter ett beaktande av skada, men eller annan olägenhet. Någon hänvisning till sådana faktorer finns inte i 21 kap. 7 § offentlighets- och sekretesslagen.

¶63. Det är svårt att se att ett förbehåll fullt ut skulle tillgodose möjligheten till avvägning mellan integritetsintresset och intresset av att bedriva journalistisk verksamhet när det är fråga om behandling av en stor mängd uppgifter som avser lagöverträdelser. Den risk som bestämmelsen i 21 kap. 7 § avser att förhindra – att uppgiften efter ett utlämnande kommer att behandlas i strid med dataskyddsförordningen – kan alltså inte undanröjas genom ett förbehåll.

¶64. Med den tolkning av förhållandet mellan 1 kap. 7 § dataskyddslagen och 21 kap. 7 § som Högsta domstolen gör är det dessutom knappast möjligt att ge några föreskrifter om behandlingen av de uppgifter om lagöverträdelser som lämnats ut, utan att ta ställning till om artikel 10 i

s. 31 Sida 31 av 31 i domstolens handling

dataskyddsförordningen gäller för den behandlingen. Ett förbehåll som innebär att det inte är tillåtet att lämna ut vissa uppgifter framstår inte heller som lämpligt med hänsyn till rätten att fritt meddela uppgifter i vilket ämne som helst.

¶65. Slutsatsen är därför att det inte finns förutsättningar att lämna ut handlingarna med förbehåll. Ett utlämnande med förbehåll framstår inte heller som en lämplig åtgärd.

¶66. Överklagandet ska sålunda avslås.