En man lämnade till barn- och familjenämnden i Eslöv in en begäran om registerutdrag enligt artikel 15 i GDPR.[1]
Nämndens motivering
Nämnden avslog begäran och som skäl anförde nämnden att han har deltagit i möten och korrespondens i ärendena hos nämnden och därför borde han rimligtvis redan tagit del av personuppgifterna han begär ut. Därmed är hans begäran ogrundad och orimlig. Omfattningen av antalet dokument är mycket stor och för att möjliggöra begäran skulle det krävas en ofantligt stor arbetsinsats och behov av extra personal. Då kostnaden för detta arbete inte är rimlig avslås begäran även på den grunden.
Genom samma beslut biföll nämnden mannens begäran avseende en period om två veckor för år 2018.
Förvaltningsrätten Malmö
I Förvaltningsrätten i Malmö yrkar han att i ärendet, som gäller hans sambo, tilldelas alla personuppgifter enligt artikel 15 i GDPR. Till stöd för sin talan ger han ingett antal handlingar som nämnden i anledning av hans begäran har skickat till honom per e-post.
Tillämpliga bestämmelser
Av artikel 4.1 i GDPR framgår att i förordningen avses med personuppgifter varje upplysning som avser en identifierad eller identifierbar fysisk person, varvid en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller online identifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet.
I artikel 15.1 i GDPR anges följande. Den registrerade ska ha rätt att av den personuppgiftsansvarige få bekräftelse på huruvida personuppgifter som rör honom eller henne håller på att behandlas och i så fall få tillgång till personuppgifterna och följande information:
a) Ändamålen med behandlingen.
b) De kategorier av personuppgifter som behandlingen gäller.
c) De mottagare eller kategorier av mottagare till vilka personuppgifterna har lämnats eller ska lämnas ut, särskilt mottagare i tredjeländer eller internationella organisationer.
d) Om möjligt, den förutsedda period under vilken personuppgifterna kommer att lagras eller, om detta inte är möjligt, de kriterier som används för att fastställa denna period.
e) Förekomsten av rätten att av den personuppgiftsansvarige begära rättelse eller radering av personuppgifterna eller begränsningar av behandling av personuppgifter som rör den registrerade eller att invända mot sådan behandling.
f) Rätten att inge klagomål till en tillsynsmyndighet.
g) Om personuppgifterna inte samlas in från den registrerade, all tillgänglig information om varifrån dessa uppgifter kommer.
h) Förekomsten av automatiserat beslutsfattande, inbegripet profilering enligt artikel 22.1 och 22.4, varvid det åtminstone i dessa fall ska lämnas meningsfull information om logiken bakom samt betydelsen och de förutsedda följderna av sådan behandling för den registrerade.
Enligt artikel 15.3 GDPR ska den personuppgiftsansvarige förse den registrerade med en kopia av de personuppgifter som är under behandling. Av artikel 15.4 framgår att den rätt till en kopia som avses i punkt 3 ska inte inverka menligt på andras rättigheter och friheter.
I artikel 12.5 i GDPR anges att all kommunikation och samtliga åtgärder som vidtas enligt bl.a. artikel 15 ska tillhandahållas kostnadsfritt. Om begäranden från en registrerad är uppenbart ogrundade eller orimliga, särskilt på grund av deras repetitiva art, får den personuppgiftsansvarige antingen
a) ta ut en rimlig avgift som täcker de administrativa kostnaderna för att tillhandahålla den information eller vidta den åtgärd som begärts, eller
b) vägra att tillmötesgå begäran.
Det åligger den personuppgiftsansvarige att visa att begäran är uppenbart ogrundad eller orimlig.
Förvaltningsrättens bedömning
Frågan i målet rör mannens rätt att från nämnden få ut registerutdrag enligt artikel 15 i GDPR. Rätten till personuppgifter avser endast hans egna personuppgifter. I och med införandet av GDPR upphävdes Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter, dataskyddsdirektivet.
Av praxis från EU-domstolen framgår att dataskyddsdirektivet inte medförde någon rätt att få en kopia av den handling där personuppgifterna ursprungligen tagits in (se bl.a. EU-domstolens avgöranden från den 17 juli 2014 i de förenade målen C-141/12 och C-372/12, Minister voor Immigratie, Integratie en Asiel, mot M och S).
Med hänsyn till att syftet med GDPR i allt väsentligt överensstämmer med syftet med dataskyddsdirektivet anser förvaltningsrätten att GDPR inte heller kan anses grunda en rätt att få ut en kopia av den handling där personuppgifterna ursprungligen tagits in, om det på annat sätt går att säkerställa den registrerades rätt till tillgång till personuppgifter.
Uppgifterna ska sammanställas i en form som gör det möjligt för den registrerade att få kännedom om uppgifterna och kontrollera att de är korrekta och att de behandlas på ett sätt som är förenligt med GDPR, i syfte att den registrerade, i förekommande fall, ska kunna utöva sina rättigheter enligt GDPR. GDPR skiljer sig således från de nationella reglerna i Tryckfrihetsförordningen, TF, vars syfte är att ge enskilda rätt att ta del av en viss handling (se 2 kap. 1 § TF).
Nämnden har i sitt beslut avslagit mannens begäran om registerutdrag i den del som avser perioden år 2014 till 2018. Nämnden har i denna del hänvisat till artikel 12.5 i GDPR. Artikeln avser de fall då en begäran är uppenbart ogrundad eller orimlig, särskilt på den grund av dess repetitiva art.
Bestämmelsen tar således i första hand sikte på de situationer då en enskild upprepade gånger under relativt kort tid begär ut bland annat registerutdrag. Av bestämmelsen framgår vidare att det är den personuppgiftsansvarige, i det här fallet nämnden, som ska visa att förutsättningarna i bestämmelsen är vid handen. Av underlaget i målet framgår inte att mannen sedan tidigare ska ha begärt ut något registerutdrag från nämnden. Vad nämnden anfört i sitt beslut om mängden uppgifter hos myndigheten kan inte i sig anses utgöra skäl att neka mannen ett registerutdrag enligt artikel 15.
Nämnden har i sitt beslut avseende en period om två veckor för år 2018 bifallit hans begäran. Beslutet kan i denna del inte anses ha gått mannen emot och hans överklagande ska därför avvisas för den perioden.
Sammantaget anser förvaltningsrätten att nämndens beslut ska upphävas i den del som avser perioden år 2014 till 2018 och målet återförvisas till nämnden för förnyad handläggning i enlighet med mannens begäran om registerutdrag. Överklagandet ska i övrigt avvisas.
Kammarrätten Göteborg
Nämnden överklagade och anförde i kammarrätten att det aktuella materialet omfattar mer än 3 000 sidor och innehåller en stor mängd uppgifter om andra personer som vid ett utlämnande skulle behöva maskeras. Med beaktande av arbetstiden och kostnaden är mannens begäran orimlig.
Om nämnden ändå är skyldig att lämna ut materialet bör det räcka att den upplyser om vilka personuppgifter som behandlas i vilket system. Under alla förhållanden vill nämnden ha rätt att ta ut avgift för sitt arbete.
Skälen för kammarrättens avgörande
Mannen har hos nämnden begärt ut vissa uppgifter och hänvisat till reglerna i GDPR. Både han och nämnden tycks utgå från att begäran avser enskilda handlingar. Reglerna i GDPR innebär dock inte någon rätt att få del av en handling som sådan. Det som ska lämnas ut är i stället ett registerutdrag med en sammanställning av de behandlade uppgifterna i en begriplig form.
Den sökande ska få kännedom om uppgifterna och kunna kontrollera att de är korrekta och att de behandlas på ett sätt som är förenligt med GDPR.[2] Mannens begäran enligt GDPR kan därmed inte anses avse något annat än ett registerutdrag. Nämnden har anfört att mannens begäran är uppenbart orimlig med hänsyn dels till att han tidigare har fått del av handlingarna där de aktuella personuppgifterna förekommer, dels att materialet är mycket omfattande.
Enligt artikel 12.5 i GDPR är det nämnden som ska visa att begäran är uppenbart orimlig. Bestämmelsen tar i första hand sikte på situationer då någon repetitivt begär registerutdrag. Det finns inte något i målet som visar att undantagsregeln är tillämplig i det här fallet. Det är inte en uppgift för kammarrätten i det här målet att ta ställning till varken hur nämnden bör utforma registerutdraget eller hur nämnden närmare ska handlägga mannens begäran.
På grund av det anförda ska förvaltningsrättens beslut att nämnden förnyat ska pröva mannens begäran om registerutdrag för perioden år 2014 till 2018 inte ändras. Kammarrätten avslår överklagandet.
- Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) ↑
- Prop. 2017/18:105 s. 107 f. samt EU-domstolens avgörande den 17 juli 2014 i mål C-141/12 och C-372/12 ↑