Dom i mål om rätt att ta del av uppgifter

Region Stockholm begärde med stöd av bestämmelsen om uppgiftsskyldighet mellan myndigheter, 6 kap. 5 § offentlighets- och sekretesslagen (2009:400), att Socialstyrelsen till regionen skulle lämna vissa personuppgifter ur registret över hälso- och sjukvårdspersonal. I målet uppstod frågan om ett sådant uppgiftslämnande är förenligt med den s.k. finalitetsprincipen enligt EU:s dataskyddsförordning, 2016/679. Finalitetsprincipen innebär att om en tilltänkt behandling av redan insamlade personuppgifter inte omfattas av de ursprungliga ändamålen måste det göras en bedömning av om ändamålet med den senare behandlingen är förenligt med de ursprungliga ändamålen eller inte. Högsta förvaltnings­domstolen anser att ett lämnande av personuppgifter ur registret är förenligt med finalitetsprincipen. Uppgiftsskyldig­heten mellan myndigheter i offentlighets- och sekretesslagen förutsätter att endast uppgifter som inte omfattas av sekretess lämnas, dvs. genom sekretessbestämmelser hindras myndigheterna från att lämna integritetskänsliga uppgifter till andra myndigheter och härigenom får lagstiftaren anses ha tagit ställning till att ett uppgiftslämnande är oförenligt med det eller de ändamål för vilket uppgifterna samlades in. Utöver sekretessprövningen ska en myndighet således inte göra någon kontroll av förenligheten med finalitetsprincipen i samband med lämnande av uppgifter enligt 6 kap. 5 § offentlighets- och sekretesslagen. Högsta förvaltningsdomstolen anser att Socialstyrelsen är skyldig att lämna uppgifter till Region Stockholm i enlighet med tillämpliga dataskyddsregler, t.ex. att inte fler uppgifter än vad som behövs för att uppfylla regionens behov lämnas.