Personuppgiftssekretess
Vi vill inledningsvis upplysa om att svaret som ges är övergripande och inte en rekommendation till beslut i något enskilt fall.
Fråga
Vad gäller för sekretess enligt 21 kap. 7 § offentlighets- och sekretesslagen? Hur ska man veta om den som efterfrågar handlingarna kommer att bryta mot GDPR? När kan man vägra utlämnande med stöd av denna sekretessgrund?
Svar
Personuppgiftssekretessen i 21 kap. 7 § OSL utgör en av de knivigare sekretessgrunderna som ska tillämpas av en myndighet. Sekretess enligt 21 kap. 7 § OSL föreligger om det efter utlämnande kan antas att uppgifterna kommer att behandlas i strid med GDPR, dataskyddslagen eller 6 § etikprövningslagen. Det rör sig med andra ord om svag sekretess.
I och med att personuppgifter förekommer i de flesta allmänna handlingar kan denna sekretessgrund i teorin bli tillämplig på alla typer av utlämnanden.
Bedömningen om denna typ av sekretessgrund är tillämpbar bör göras i två steg, ett första steg för att avgöra om man har rätt att bryta mot efterforskningsförbudet och ett andra steg för att avgöra om sekretess faktiskt föreligger enligt 21 kap. 7 § OSL.
Efterforskningsförbudet gäller generellt vid utlämnande av allmänna handlingar och innebär i korthet ett förbud för myndigheten, vid begäran om utlämnande av allmän handling, gällande att efterforska vem sökanden är och vad denne planerar att använda handlingarna till (2 kap. 18 § TF) i större utsträckning än vad som krävs för att pröva om det föreligger hinder mot att handlingen lämnas ut.
För att avgöra om personuppgiftssekretess föreligger behöver man dock i de flesta fall veta vem sökanden är och vad uppgifterna kan komma att användas för (för att avgöra om uppgifterna kommer att behandlas i strid med dataskyddslagstiftningen). När får man bryta mot förbudet?
Enligt JO får frågor ställas om vissa omständigheter föreligger, antingen vid massuttag eller vid selekterade uppgifter om få individer (se JO-beslut dnr. 1102-2004).
Om en sådan begäran görs har myndigheten rätt att ställa de frågor man behöver för att bedöma om uppgifterna kommer att behandlas i strid med dataskyddslagstiftningen. Finns mycket praxis på området. Ändamålet brukar vara avgörande.
Frågan är besvarad av juristen Didrik Värmon.
Vill du ta del av fler Frågor och svar inom området dataskydd?
Testa då vår informationstjänst JP ITnet kostnadsfritt. I tjänsterna ingår vår populära frågeservice.
Publicerad 25 maj 2020