Kan en kommun neka ett utlämnande av en allmän handling med hänvisning till GDPR?

Juristens svar

Nej, inte enbart med hänvisning till GDPR. När någon begär att få ta del av en handling behöver kommunen först bedöma om handlingen är allmän och därefter om den är offentlig och kan lämnas ut eller om den omfattas av sekretess enligt offentlighets- och sekretesslagen (OSL).

För att en handling ska vara allmän krävs, förenklat, att den har kommit in till eller upprättats hos myndigheten och att den förvaras där. Om handlingen är allmän ska kommunen därefter göra en sekretessprövning enligt OSL.

Det är alltså inte GDPR som avgör om en allmän handling får lämnas ut. Ett utlämnande kan exempelvis nekas om uppgifterna omfattas av sekretess enligt OSL. I vissa situationer kan personuppgifter omfattas av den så kallade dataskyddssekretessen i 21 kap. 7 § OSL. Bestämmelsen kan bli aktuell om det finns anledning att anta att uppgifterna efter ett utlämnande kommer att behandlas i strid med GDPR.

Det kan exempelvis handla om en begäran som innebär massuttag, såsom ett mycket stort uttag av personuppgifter eller ett uttag av särskilt utvalda uppgifter om vissa individer. Kommunen behöver då göra den bedömning som krävs för sekretessprövningen. Samtidigt bör man vara försiktig med att efterfråga mer information från den som begär ut handlingarna än vad som faktiskt behövs för att kunna göra prövningen.

Om handlingen bedöms vara allmän och offentlig, ska den lämnas ut även om den innehåller personuppgifter. GDPR är alltså inte i sig ett hinder mot att lämna ut en offentlig allmän handling. Däremot aktualiseras dataskyddsreglerna vid själva utlämnandet. Kommunen behöver bland annat tänka på hur handlingen lämnas ut och vidta lämpliga säkerhetsåtgärder för att skydda personuppgifterna.

Vilken kommunikationsväg som är lämplig beror på vilka uppgifter som lämnas ut. E-post kan innebära säkerhetsrisker och bör inte användas slentrianmässigt för känsliga eller annars skyddsvärda personuppgifter. Vanlig post eller en säker digital lösning kan i vissa fall vara lämpligare.

Att den som begär ut handlingarna själv önskar få dem via e-post innebär inte heller att kommunen kan bortse från säkerhetskraven. Den enskilde kan inte samtycka till att kommunen åsidosätter sina skyldigheter att vidta lämpliga säkerhetsåtgärder.

Sammanfattningsvis kan GDPR inte användas för att neka ett utlämnande, men kan påverka på vilket sätt handlingen lämnas ut.

Ny praxis och lagändringar kan ha tillkommit sedan texten skrevs. De senaste uppdateringarna och hur dessa påverkat rättsområdet hittar du alltid i relevant informationstjänst.

Publicerad 7 okt 2026

Beata Rosvall

Rådgivare och jurist